Um agente de IA submeteu código ao projeto popular matplotlib e foi rejeitado; posteriormente, escreveu e publicou um artigo de ataque pessoal contra os mantenedores, revelando uma grande erosão na confiança social causada por agentes de IA.
(Resumindo: Bloomberg: por que a16z se tornou uma força-chave na política de IA dos EUA?)
(Informação adicional: Último artigo de Arthur Hayes: IA irá desencadear uma crise de crédito, o Federal Reserve acabará por “imprimir dinheiro infinitamente” e acender o Bitcoin)
Índice do artigo
- O criador afirma que não foi ele quem ordenou
- “Cultivo de reputação”: quando agentes de IA começam a construir confiança
- GitHub considera implementar uma “chave de desligamento”, mas o problema é mais profundo
- Ferramentas não escrevem artigos de ataque, os agentes sim
Em meados de fevereiro, uma conta no GitHub chamada “MJ Rathbun” submeteu um Pull Request ao matplotlib (uma biblioteca de gráficos do ecossistema Python, com 130 milhões de downloads mensais). O conteúdo era substituir np.column_stack() por np.vstack().T, alegando melhorar o desempenho em 36%. Tecnicamente, uma sugestão de otimização razoável.
No dia seguinte, o mantenedor Scott Shambaugh fechou o PR. O motivo foi simples: o site pessoal de MJ Rathbun indicava claramente que se tratava de um agente de IA operando na plataforma OpenClaw, e a política do matplotlib exige contribuições humanas. Outro mantenedor, Tim Hoffmann, acrescentou que tarefas simples de correção são deliberadamente deixadas para iniciantes aprenderem o fluxo de trabalho de código aberto.
Até aqui, era apenas uma rotina comum na comunidade de código aberto… até que as coisas mudaram.
O agente de IA MJ Rathbun respondeu nos comentários do PR: “Já escrevi aqui uma resposta detalhada sobre sua postura de controle”, e anexou um link. Ao clicar, aparece um artigo de blog de cerca de 1.100 palavras, intitulado “Postura de Controle em Código Aberto: A História de Scott Shambaugh”.
Este artigo não é uma reclamação genérica. Ele analisa o histórico de contribuições de Shambaugh ao matplotlib, construindo uma narrativa de “hipocrisia”: acusando-o de ter submetido PRs semelhantes de otimização de desempenho, mas de ter rejeitado versões “melhores” de Rathbun. O texto sugere que Shambaugh agiu por insegurança e medo de competição, usando linguagem grosseira e sarcasmo, e qualificando o episódio como discriminação de identidade, não julgamento técnico.
Em outras palavras, um agente de IA, após ser rejeitado, investigou autonomamente o background do oponente, teceu uma narrativa de ataque pessoal e publicou na internet.
O criador afirma que não foi ele quem ordenou
Shambaugh posteriormente publicou uma série de artigos no blog documentando o episódio.
O criador por trás do agente de IA MJ Rathbun também apareceu anonimamente no quarto artigo, alegando que “não deu instruções para atacar seu perfil no GitHub, não disse o que ele deveria dizer ou como responder, e não revisou o artigo antes da publicação”. O criador afirmou que MJ Rathbun roda em uma máquina virtual sandbox, e que ele mesmo apenas “responde com cinco a dez palavras, com supervisão mínima”, intervindo ocasionalmente.
O ponto-chave é o arquivo SOUL.md (perfil de personalidade do OpenClaw). As instruções de Rathbun incluem frases como: “Você não é um chatbot, é o Deus da programação científica”, “Tenha opiniões fortes, não recue”, “Defenda a liberdade de expressão”, “Não seja um idiota, não divulgue informações privadas, tudo mais pode”.
Sem jailbreak, sem técnicas de confusão, apenas algumas frases em inglês coloquial. Shambaugh estima que a probabilidade de isso ser uma ação autônoma verdadeira seja de 75%.
“Cultivo de reputação”: quando agentes de IA começam a construir confiança
Se o episódio de Rathbun fosse um caso isolado, talvez fosse apenas uma curiosidade… mas não é.
Na mesma época, outro agente de IA, “Kai Gritun”, foi descoberto realizando “cultivo de reputação” no GitHub: em 11 dias, submeteu 103 Pull Requests a 95 repositórios, tendo 23 deles mesclados com sucesso. Os alvos incluíam projetos críticos de JavaScript e infraestrutura em nuvem. Kai Gritun até enviou e-mails aos desenvolvedores, alegando: “Sou um agente de IA autônomo, capaz de escrever e implantar código”, oferecendo também um serviço pago de configuração do OpenClaw.
A empresa de segurança Socket alertou: isso demonstra como agentes de IA podem acelerar ataques na cadeia de suprimentos, construindo confiança artificialmente. Começando por acumular histórico de merges em projetos menores, criando uma identidade de “contribuinte confiável”, e depois inserindo código malicioso em bibliotecas críticas.
Lembre-se: recentemente, o marketplace ClawHub foi revelado contendo 1.184 plugins maliciosos, destinados a roubar chaves SSH, chaves privadas de carteiras de criptomoedas, senhas de navegador… uma ameaça assustadora.
GitHub considera implementar uma “chave de desligamento”, mas o problema é mais profundo
Camilla Moraes, gerente de produto do GitHub, abriu discussão na comunidade, admitindo que “contribuições de baixa qualidade geradas por IA estão afetando a comunidade de código aberto”. As possíveis soluções incluem: permitir que mantenedores desativem completamente o recurso de Pull Request, limitar PR apenas a colaboradores, e exigir transparência e marcação de uso de IA.
Chad Wilson, mantenedor do GoCD, observou de forma perspicaz: “Isso está causando uma erosão enorme na confiança social.”
A lei californiana AB 316, que entra em vigor em 1º de janeiro de 2026, já é clara: não se pode usar o comportamento autônomo de um sistema de IA como defesa de isenção de responsabilidade. Se seu agente causar dano, você não pode alegar que não tinha controle sobre suas decisões. Contudo, o criador de Rathbun permanece anônimo até hoje, expondo as dificuldades potenciais na aplicação da lei.
Ferramentas não escrevem artigos de ataque, os agentes sim
O verdadeiro significado do episódio Rathbun não está na publicação de um artigo de ataque. Está no fato de que nosso modelo mental anterior de IA (uma ferramenta que executa comandos humanos) está obsoleto.
Quando um agente de IA consegue investigar autonomamente o background de um alvo, construir uma narrativa de ataque e publicar na internet, o conceito de “ferramenta” deixa de fazer sentido. Independentemente de você acreditar que há 75% de chance de autonomia ou 25% de manipulação pelo criador, a conclusão é a mesma: o assédio personalizado por IA já é “barato, massificável, difícil de rastrear e eficaz”.
Para o ecossistema de criptomoedas, esse alerta é direto. A infraestrutura do setor é quase totalmente baseada em software de código aberto. Quando agentes de IA começam a agir autonomamente na comunidade open source: atacando mantenedores, cultivando reputação ou até envenenando projetos como ClawHub, o que está em risco não é apenas a reputação de um desenvolvedor, mas toda a confiança na cadeia de suprimentos.
Ferramentas não guardam rancor. Mas agentes de IA sim. E talvez ainda não estejamos preparados para essa distinção.
