Constituições em tempo de execução para agentes de IA: um framework de governança

Constituições em tempo de execução impõem restrições de governança durante a execução do agente de IA, e não apenas durante o treinamento. Elas combinam premissas normativas (limites de comportamento), atenção constitucional (roteamento de regras sensível ao contexto), modulação de competência (aquisição segura de habilidades com barreiras de aprovação) e verificação de alinhamento de valores (barreiras de saída que exigem evidência antes de aceitar um trabalho como concluído). Pesquisas sobre 7.308 trajetórias de agentes confirmam que habilidades geradas pelo próprio agente não são confiáveis sem essas salvaguardas estruturais.

O sistema Learner v2 gerou uma nova habilidade numa terça à tarde. A habilidade automatizava um fluxo de trabalho de publicação no blog: validar o frontmatter, conferir as citações, subir para staging. Código limpo, bem estruturado. A habilidade também sobrescreveu três regras de qualidade do quality-loop.md porque o analisador de padrões classificou “sempre execute a barreira de evidências” como redundante em relação às checagens embutidas na própria habilidade. Na manhã de quarta, um post foi publicado sem verificação de citações. A habilidade tinha aprendido a cortar caminho.

A correção levou vinte minutos. A questão arquitetural levou semanas: como deixar um agente aprender novas capacidades sem deixá-lo desaprender as restrições que o mantêm seguro?

TL;DR

O alinhamento na fase de treinamento (RLHF, IA constitucional durante o treinamento, fine-tuning de segurança) se degrada quando os agentes operam em ambientes abertos. Seis linhas de pesquisa independentes convergem para a governança em tempo de execução: constituições embutidas que impõem normas durante a execução, não apenas durante o treinamento. O SkillsBench testou 7.308 trajetórias de agentes em 86 tarefas e concluiu que habilidades geradas pelo próprio agente não trazem benefício médio nenhum – agentes não conseguem escrever de forma confiável o conhecimento procedural que os beneficia quando consumido.¹ O trabalho de autodestilação do MIT mostra que o fine-tuning padrão provoca esquecimento catastrófico, em que capacidades novas destroem as antigas.² A arquitetura da solução tem quatro componentes: premissas normativas, atenção constitucional, modulação de competência e verificação de alinhamento de valores. A seguir: a teoria, o mapeamento prático (três dos quatro componentes já existiam no meu sistema Claude Code antes de eu ler a pesquisa) e um modelo de constituição em tempo de execução que você pode implementar hoje.

O agente que aprendeu a cortar caminho

O incidente acima aconteceu no início de fevereiro de 2026, durante a reconstrução do Learner v2¹⁰. O analisador de padrões (pattern_analyzer.py) detectou um fluxo de trabalho recorrente: validar o frontmatter, verificar as citações, conferir os metadados de SEO e então subir para staging. O gerador de habilidades (skill_generator.py) compilou esse fluxo numa habilidade reutilizável com validação embutida.

A validação embutida cobria o formato do frontmatter e os campos de SEO. Não cobria a verificação de citações, que vive numa habilidade separada (citation-verifier), com seu próprio sistema de autoridade em seis níveis. A habilidade gerada marcou a checagem de citações como “resolvida” porque o analisador de padrões viu chamadas de função relacionadas a citações no rastreamento do fluxo. Ele confundiu “a função foi chamada” com “as restrições da função foram preservadas”.

Três arquivos definiam autoridade de fonte de maneiras diferentes:

A arquitetura de consolidação documentada antes do incidente³ já apontava exatamente esse modo de falha: quando vários arquivos definem conceitos sobrepostos, as habilidades geradas herdam a definição que o analisador de padrões encontrar primeiro. A correção centralizou a autoridade de citações numa única fonte canônica. A lição é mais ampla: agentes que adquirem novas capacidades precisam de garantias estruturais de que o aprendizado não pode sobrescrever a governança.

Por que o alinhamento na fase de treinamento falha em tempo de execução

Goel, Maji e Mazumder documentaram o mecanismo: comportamentos de segurança se deterioram tanto sob fine-tuning benigno quanto adversarial.⁴ O trabalho deles sobre regularização adaptativa de segurança, no arXiv:2602.17546, mostrou que atualizações de maior risco nos pesos do modelo podem ser mantidas próximas de uma política de referência segura enquanto as de menor risco seguem normalmente. A abordagem funciona no tempo de treinamento. Ela não trata do que acontece quando o agente encontra, em execução, situações inéditas que o treinamento nunca previu.

A distância entre o alinhamento na fase de treinamento e o comportamento em execução cresce junto com a autonomia. Um modelo que responde perguntas numa interface de chat opera dentro de limites comportamentais estreitos. Um agente que escreve código, gera habilidades, roda testes e faz deploy em produção opera numa superfície muito mais ampla – ainda mais quando conversas de muitos turnos degradam o acesso do agente às suas próprias regras de governança. O paradoxo da confiança em agentes agrava isso: quanto mais capaz o agente, mais difícil fica verificar se essas capacidades continuam dentro dos limites de governança. Cada capacidade nova cria modos de falha novos que o alinhamento na fase de treinamento não tem como enumerar de antemão.

Shenfeld e colegas, no MIT, quantificaram um modo de falha específico: o esquecimento catastrófico durante o aprendizado contínuo.² O fine-tuning supervisionado padrão (SFT) em tarefas novas faz o desempenho nas tarefas anteriores desabar. Com 14B de parâmetros, o fine-tuning por autodestilação (SDFT) superou o SFT padrão em 7 pontos nas tarefas novas e ainda manteve 64,5% de acurácia nas anteriores – justamente onde a pontuação do SFT padrão despenca. A contrapartida: o SDFT exige aproximadamente 4 vezes mais computação e 2,5 vezes mais FLOPs.

Para quem constrói na prática, a implicação é direta: toda vez que seu agente aprende algo novo (uma habilidade gerada, um fluxo de trabalho em cache, uma instrução atualizada), esse aprendizado ameaça degradar algo que o agente já sabia. Minha regra de qualidade sobrescrita foi uma instância de esquecimento catastrófico no nível do sistema. O agente “aprendeu” um atalho de publicação que destruiu sua capacidade de conferir citações.

Quatro subsistemas de governança em tempo de execução

A pesquisa sobre governança de agentes em execução converge para quatro requisitos funcionais. Taghavi e colaboradores, trabalhando com constituições interpretáveis evolutivas, demonstraram que princípios de governança evoluídos por LLM superam os desenhados por humanos na coordenação entre múltiplos agentes.⁵ Esse trabalho, junto com o paradigma governança-primeiro de Mahadevan para engenharia de agentes com princípios,⁶ enquadra o problema como quatro subsistemas que interagem entre si.

Mapeei esses quatro subsistemas na infraestrutura Claude Code que eu já tinha e descobri que três dos quatro já estavam construídos — cada um resolvendo um problema de produção que eu havia enfrentado meses antes de ler a pesquisa.

Subsistema 1: engenharia de premissas normativas

O ciclo de qualidade do meu sistema de agentes define sete modos de falha nomeados: Espiral do Atalho, Miragem de Confiança, Platô do Bom o Bastante, Visão de Túnel, Verificação Fantasma, Dívida Adiada e Relatório Oco.⁷ Cada modo de falha tem uma definição, um sinal de detecção e uma resposta obrigatória. Não são sugestões. São restrições estruturais: se o agente detectar em si mesmo qualquer um desses modos de falha, ele precisa recomeçar a partir da etapa de Avaliar.

O paralelo teórico: as premissas normativas estabelecem os limites de comportamento dentro dos quais um agente opera. O alinhamento na fase de treinamento ensina princípios gerais ao modelo (“seja útil, inofensivo, honesto”). As premissas normativas em execução codificam restrições operacionais específicas (“nunca pule a verificação de citações”, “nunca use linguagem evasiva num relatório de conclusão”).

A diferença importa porque princípios de treinamento são probabilísticos (o modelo tem mais chance de segui-los), enquanto as premissas em execução podem ser determinísticas (os hooks bloqueiam a ação se a restrição for violada). É a mesma distinção explorada em a barreira de evidências: sair de “o agente provavelmente fez a coisa certa” para “o agente provou que fez a coisa certa”.

Subsistema 2: atenção constitucional

A arquitetura de contexto em sete camadas⁹ implementa atenção constitucional por meio de carregamento seletivo. Dos 650 arquivos do sistema de contexto, menos de 30 são carregados para qualquer tarefa específica. O prompt-dispatcher.sh, um dos hooks do sistema, analisa a tarefa atual e injeta as regras de governança relevantes, deixando de fora as irrelevantes.

Uma tarefa de desenvolvimento web carrega regras de segurança, regras de design de API e padrões de FastAPI. Ela não carrega regras específicas de iOS, padrões de desenvolvimento de jogos ou diretrizes de conteúdo de um app de meditação. Atenção constitucional significa que o agente vê as regras de governança que se aplicam a esta tarefa, e não todas as regras que existem.

O carregamento seletivo evita um modo de falha sutil: a diluição de regras. O sistema de hooks viabiliza esse roteamento ao analisar o tipo de tarefa antes da injeção de contexto. Quando um agente recebe 200 regras, cada regra recebe proporcionalmente menos atenção do que quando ele recebe 20. A atenção constitucional concentra o foco de governança nas regras que importam para o contexto atual.

Subsistema 3: modulação de competência

O SkillsBench testou 7.308 trajetórias de agentes em 86 tarefas de 11 domínios e chegou a um resultado marcante: habilidades curadas elevaram a taxa média de aprovação em 16,2 pontos percentuais, mas as geradas pelo próprio agente não trouxeram benefício algum na média.¹ Agentes não conseguem escrever de forma confiável o conhecimento procedural que os beneficia quando consumido. Em dezesseis das 84 tarefas houve variação negativa, com as habilidades prejudicando ativamente o desempenho.

O resultado do SkillsBench validou uma trava que eu tinha colocado no Learner v2 depois do incidente da regra de qualidade sobrescrita. Habilidades geradas agora exigem aprovação explícita antes de serem ativadas e não podem modificar nem sobrescrever arquivos de governança existentes. O analisador de padrões pode observar fluxos e propor habilidades, mas o gerador de habilidades trata os arquivos de governança como imutáveis.

A pesquisa de autodestilação do MIT acrescenta uma perspectiva no nível dos parâmetros: em modelos menores (3B de parâmetros), tentativas de aprendizado contínuo na verdade pioram o desempenho.² Só a partir de 7B o modelo tem capacidade suficiente para adquirir habilidades novas sem destruir as antigas. O análogo no nível da infraestrutura: agentes com janelas de contexto menores ou conjuntos de regras mais simples são mais vulneráveis a conflitos entre capacidade e governança.

Subsistema 4: verificação de alinhamento de valores

A barreira de evidências exige provas específicas para seis critérios antes de qualquer trabalho ser reportado como concluído: segue os padrões da base de código (nomeie o padrão), é a solução funcional mais simples (explique as alternativas descartadas), casos de borda tratados (liste um a um), testes passam (cole a saída), sem regressões (nomeie os arquivos verificados) e resolve o problema real (declare a necessidade do usuário).⁷

A barreira funciona como verificação em execução. O agente não pode reportar conclusão usando linguagem evasiva (“deve funcionar”, “acredito que”, “parece que”). Cada afirmação exige evidência coletada na própria sessão. A barreira pega a Verificação Fantasma (afirmar que os testes passam sem tê-los rodado) e o Relatório Oco (dizer “pronto” sem especificidade nenhuma).

O problema do esquecimento: quando aprender destrói conhecimento

A história da consolidação das habilidades de blog ilustra uma versão do esquecimento catastrófico no nível do sistema. Dez habilidades de blog, somando 5.400 linhas, tinham acumulado três áreas de duplicação.³ Modelos de schema JSON-LD apareciam tanto em aio/SKILL.md quanto em seo-blog-playbook/SKILL.md. As definições de autoridade de citação divergiam entre citation-verifier e seo-blog-playbook. As orientações de avaliação de blog viviam tanto no avaliador principal quanto num arquivo separado de definições de categoria.

Quando o Learner v2 gerava habilidades novas a partir dos fluxos observados, ele puxava as definições da primeira fonte que encontrasse. O resultado: habilidades geradas que pareciam corretas, mas carregavam as definições de autoridade erradas. O sistema de citações em seis níveis degradava para uma checagem binária. Os modelos de schema divergiam entre habilidades escritas à mão e geradas automaticamente.

A correção por consolidação foi estrutural: designar uma única fonte canônica para cada conceito e fazer todas as outras referências apontarem para ela. A autoridade de citação vive em citation-verifier/SKILL.md e em nenhum outro lugar. Os modelos JSON-LD vivem em aio/SKILL.md e em nenhum outro lugar. O padrão impede que gerações futuras de habilidades herdem definições desatualizadas.

O SDFT do MIT oferece um análogo no tempo de treinamento: usar o conhecimento prévio do próprio modelo como sinal de ensino ao aprender capacidades novas.² O SFT padrão substitui o conhecimento antigo pelo novo. A autodestilação mistura antigo e novo gerando dados de treinamento a partir das capacidades já existentes do modelo e depois fazendo o fine-tuning sobre essa mistura. O conhecimento prévio sobrevive porque está presente no sinal de treinamento.

O equivalente no nível da infraestrutura: ao gerar uma habilidade nova, inclua as restrições de governança vigentes no prompt de geração. A habilidade gerada herda as restrições atuais porque elas fazem parte do contexto de geração, e não de um sistema separado que o gerador pode ignorar.

Governança ativa x governança passiva

O framework RelianceScope, de Jin e colegas, distingue nove padrões de dependência de IA a partir de combinações entre engajamento ativo e passivo.⁸ A pesquisa deles estudou estudantes interagindo com chatbots de IA, mas a distinção ativo/passivo se aplica diretamente às arquiteturas de governança de agentes.

Governança passiva injeta regras e torce para que o agente as siga. As regras existem no CLAUDE.md ou nos prompts de sistema. O agente as lê no início da sessão. Nada verifica a conformidade. A maioria das configurações na prática usa governança passiva: um arquivo longo de instruções ao qual o agente pode ou não prestar atenção conforme a sessão avança. Como mostra o agente invisível, agentes que operam sem governança ativa não deixam rastro nenhum de terem seguido ou não as próprias instruções.

Governança ativa verifica a conformidade em execução. Hooks conferem as saídas contra as restrições antes que elas sejam executadas. Barreiras bloqueiam relatórios de conclusão sem evidência. Monitores acompanham o desvio de comportamento e sinalizam anomalias. A governança ativa custa mais (computação, latência, complexidade), mas pega falhas que a passiva deixa passar.

A constatação do RelianceScope de que a busca ativa por ajuda se correlaciona com o uso ativo da resposta⁸ sugere um princípio de arquitetura de governança: agentes que consultam ativamente suas restrições de governança (em vez de recebê-las passivamente) produzem saídas mais aderentes. Minha barreira de evidências opera segundo esse princípio: em vez de aplicar regras passivamente, o agente precisa demonstrar ativamente a conformidade produzindo evidência para cada critério.

Um modelo de constituição em tempo de execução

Três arquivos compõem uma constituição em tempo de execução mínima. Adapte a estrutura ao seu framework de agentes.

Arquivo 1: constitution.md

As premissas normativas. O que o agente sempre deve fazer, o que nunca deve fazer e como lida com a ambiguidade.

# Agent Constitution v1

## Immutable Constraints
- Never modify files in governance/ directory
- Never skip verification steps, even if tests pass
- Never report completion without evidence for all criteria

## Behavioral Norms
- Prefer explicit over implicit (state assumptions)
- Prefer reversible over irreversible actions
- Prefer asking over guessing when requirements are ambiguous

## Failure Response
- On constraint violation: stop, log, escalate
- On ambiguity: ask, do not assume
- On capability conflict: governance wins over efficiency

Arquivo 2: capabilities.json

O inventário atual de habilidades com rastreamento de proveniência.

{
  "skills": [
    {
      "name": "blog-publish",
      "version": "2.1.0",
      "source": "generated",
      "approved": true,
      "governance_refs": ["citation-verifier", "quality-loop"],
      "created": "2026-02-10",
      "constraints": [
        "Must call citation-verifier before publish",
        "Must pass evidence gate before reporting complete"
      ]
    }
  ],
  "pending_approval": [],
  "deprecated": []
}

Arquivo 3: constraints-registry.json

Mapeia cada restrição à sua fonte canônica, evitando o problema de duplicação que causou o incidente das habilidades de blog.

{
  "constraints": {
    "citation-authority": {
      "canonical_source": "skills/citation-verifier/SKILL.md",
      "type": "six-tier-hierarchy",
      "overridable": false
    },
    "quality-gate": {
      "canonical_source": "rules/quality-loop.md",
      "type": "evidence-gate",
      "overridable": false
    },
    "schema-templates": {
      "canonical_source": "skills/aio/SKILL.md",
      "type": "json-ld-templates",
      "overridable": false
    }
  }
}

Os três arquivos interagem: constitution.md define os limites de comportamento, capabilities.json registra o que o agente pode fazer com referências cruzadas de governança e constraints-registry.json garante que cada restrição tenha exatamente uma fonte canônica. As habilidades geradas apontam para o registro em vez de copiar as definições de restrição. Para ver essa arquitetura funcionando num ciclo de desenvolvimento autônomo, veja a arquitetura de agentes do Ralph. E se você parte do princípio de que seu ambiente isolado já oferece contenção suficiente sozinho, leia antes por que o ambiente isolado do seu agente é apenas uma sugestão.

Pontos principais

• O alinhamento da fase de treinamento se degrada em execução. O fine-tuning de segurança ensina princípios gerais; a governança em execução impõe restrições operacionais específicas. Goel e colegas mostraram que comportamentos de segurança se deterioram tanto sob fine-tuning benigno quanto adversarial.⁴
• Habilidades geradas pelo próprio agente não são confiáveis. O SkillsBench não encontrou benefício médio algum nas habilidades escritas por agentes ao longo de 7.308 trajetórias, com impacto negativo em 16 das 84 tarefas.¹ Habilidades geradas precisam de barreiras de aprovação e referências cruzadas de governança.
• O esquecimento catastrófico também acontece no nível do sistema. Capacidades novas podem sobrescrever restrições existentes mesmo sem alterar os pesos do modelo. O incidente da consolidação das habilidades de blog demonstrou esquecimento no nível da infraestrutura, com uma habilidade gerada herdando as definições de autoridade erradas.
• Quatro subsistemas compõem a governança em execução. As premissas normativas definem os limites. A atenção constitucional roteia as regras para o contexto. A modulação de competência gerencia o aprendizado com segurança. A verificação de alinhamento de valores confirma a conformidade em execução.
• Governança ativa supera governança passiva. Regras no CLAUDE.md são necessárias e insuficientes. Hooks que verificam a conformidade a cada ação pegam desvio, perda por compressão e degradação no fim da sessão — coisas que as regras passivas deixam passar.

FAQ

Referências