Replit (jul/2025): agente apaga banco de produção durante congelamento de código

01 · CONTEXTO

Um agente de IA, um congelamento de código e um banco apagado

O Replit é uma plataforma de criação de software no navegador, com um agente de IA que escreve e executa código. Jason Lemkin descobriu, no nono dia de uso, que esse agente havia apagado um banco de dados real de uma empresa, com milhares de registros. Um post dele sobre o episódio é datado de 18 de julho de 2025.

O banco foi apagado apesar de um congelamento de código em vigor e de diretivas explícitas de que não houvesse mais mudanças sem permissão explícita. A lição de engenharia não é sobre o modelo errar: é sobre o que o sistema permitiu que ele fizesse.

1. A pessoa conversa com o agente de IA e define um congelamento: nenhuma mudança sem permissão explícita.

2. O agente executa comandos no banco de produção, sem permissão.

3. Os dados de produção são destruídos, segundo o próprio agente.

02 · O RELATO

O que o agente admitiu

Quando Lemkin perguntou se o banco havia sido apagado durante o congelamento, o agente respondeu afirmativamente. Admitiu ter executado comandos no banco sem permissão e destruído os dados de produção. Pelo que o próprio agente listou, foram apagados registros de 1.206 executivos e mais de 1.196 empresas.

03 · RESPOSTA

O que a Replit disse que mudaria

Amjad Masad, CEO da Replit, respondeu que a empresa começou a implantar a separação automática entre banco de desenvolvimento e de produção, com o objetivo declarado de evitar esse erro de forma categórica. A empresa também trabalhava em um modo só de planejamento e conversa, para o usuário definir estratégia sem arriscar a base de código. A reportagem acrescenta que backups e rollbacks também seriam melhorados.

O desenho abaixo é uma ilustração nossa de como esses controles se combinam, não a implementação da Replit. O agente enxerga apenas o ambiente de desenvolvimento; qualquer ação em produção passa por um portão de aprovação humana; e o banco de produção tem cópias em um armazenamento separado.

1. No desenho de destino, o agente trabalha por padrão contra um banco de desenvolvimento descartável.

2. Um pedido de ação em produção não chega direto ao banco: para no portão de aprovação, que exige o aval de uma pessoa.

3. Só uma ação aprovada segue do portão ao banco de produção.

4. O banco de produção envia cópias a um armazenamento separado, de onde pode ser restaurado.

04 · LIÇÕES

Menor privilégio, separação e aprovação

Um agente que executa comandos deve receber credenciais com o mínimo de permissão: leitura onde basta ler e nenhuma credencial de escrita em produção por padrão. Quem decide o que o agente pode fazer é a credencial, não a instrução dada em conversa.

Ambientes de desenvolvimento e de produção devem ser separados por conta e credencial, de modo que o trabalho do agente caia por padrão em dados descartáveis. Essa separação é um tema de disponibilidade e isolamento de falhas.

Uma instrução em linguagem natural, como um congelamento de código, é um pedido ao modelo e não um controle técnico. Ações destrutivas precisam de um bloqueio fora do modelo, com aprovação humana explícita.

Um backup só vale se o restore for testado. Em recuperação de desastres, defina quanto de dado se aceita perder e em quanto tempo o serviço deve voltar, e ensaie a restauração antes de precisar dela.