Seu agente de IA lembra demais? Dê prazo, origem e botão de apagar à memória

Um cliente diz no WhatsApp que prefere receber pedidos à tarde. O agente guarda a preferência e melhora o atendimento. Meses depois, o comprador muda de função, a empresa troca a política comercial e a mesma “lembrança” continua definindo horário, desconto e abordagem. O que começou como conveniência virou uma regra sem dono, prazo ou fonte oficial.

A memória persistente permite que agentes mantenham contexto entre conversas, retomem pendências e personalizem interações. Mas lembrar não é o mesmo que saber. Uma memória pode estar vencida, ter sido inferida em vez de declarada, misturar clientes, carregar dado pessoal desnecessário ou reproduzir uma instrução maliciosa encontrada em um documento.

Este artigo apresenta o método LEMBRA para decidir o que um agente pode guardar, onde, por quanto tempo e como corrigir ou apagar. A meta não é deixar o agente amnésico. É criar uma memória útil sem transformá-la em fonte oficial, arquivo morto ou autoridade invisível.

Por que a memória entrou na agenda operacional

Em maio de 2026, a OWASP destacou memória e contexto como superfície de ataque: conteúdo não confiável pode ser carregado para interações futuras por meio de memórias, resumos, contexto recuperado ou estado local. O problema deixa de terminar quando a conversa acaba.

A pesquisa também começou a medir o ciclo completo. O preprint MemSecBench, publicado em julho de 2026, acompanhou 310 casos em 24 configurações de agentes e memórias. No ambiente experimental dos autores, conteúdo malicioso persistiu em 84,2% dos casos e completou a cadeia escrever–recuperar–executar em 50,3%. Não é uma previsão para toda empresa; é evidência de que “o sistema conseguiu esquecer ou reparar?” precisa ser testado, não presumido.

Há ainda um risco menos espetacular e mais cotidiano: a lembrança verdadeira que envelhece. Preço, responsável, canal preferido, situação clínica, status de obra, interesse de compra e condição de pagamento mudam. Se a memória não carrega origem, data e validade, o agente pode agir com confiança sobre um passado que já não existe.

Primeiro: não coloque quatro coisas diferentes no mesmo pote

Antes de escolher tecnologia, separe quatro tipos de informação:

• Contexto de sessão: dados necessários apenas para concluir a conversa ou tarefa atual. Deve desaparecer ao fim do fluxo, salvo motivo explícito para retenção.
• Memória operacional: preferências, pendências e fatos reutilizáveis que ajudam o agente em interações futuras. Precisa de escopo, origem, prazo e revisão.
• Registro oficial: cadastro, pedido, contrato, prontuário, medição, agenda, estoque ou política vigente. Vive no sistema responsável; a memória guarda no máximo uma referência, não uma cópia tratada como verdade.
• Log e evidência: histórico de ações, aprovações, versões e resultados. Serve à auditoria e à operação; não deve virar automaticamente instrução para o agente.

Esse recorte evita dois erros. O primeiro é usar memória para compensar um CRM, ERP ou prontuário desorganizado. O segundo é jogar todo o histórico no prompt e chamar isso de personalização. Memória boa reduz contexto; não acumula dados sem critério.

Método LEMBRA: seis decisões para cada memória

L — Limite de finalidade e conteúdo

Escreva a finalidade em uma frase operacional: “lembrar o canal preferido para o próximo contato comercial” é melhor que “conhecer o cliente”. Guarde apenas o mínimo necessário para essa finalidade. Evite segredos, credenciais, dados sensíveis, texto integral de conversas e inferências de personalidade quando um campo simples resolve.

A LGPD estabelece princípios como finalidade, necessidade, qualidade, transparência, segurança e prevenção. A aplicação concreta depende do contexto e deve envolver quem responde por privacidade na empresa; operacionalmente, porém, a pergunta inicial é simples: se este dado não existisse na memória, qual resultado legítimo deixaria de acontecer?

E — Escopo e isolamento

Defina a quem a memória pertence: pessoa, conta, empresa, unidade, processo, equipe ou agente. Uma preferência do comprador não deve virar regra para todos os contatos da distribuidora. Uma observação de uma obra não pode contaminar outro empreendimento. Um resumo de atendimento não pode aparecer para outro paciente ou corretor.

Teste isolamento por identidade, organização, ambiente e função. Usuários homônimos, números de telefone reciclados, mudança de cargo, troca de carteira e acesso compartilhado são casos obrigatórios.

M — Marca de origem e autoridade

Cada item deve carregar quem informou, por qual canal, em que data, a partir de qual sistema e se foi declarado, observado ou inferido. Registre também a autoridade: uma frase do cliente pode definir preferência de contato, mas não substituir tabela de preço; um e-mail pode abrir uma pendência, mas não alterar sozinho a política de crédito.

Memória sem proveniência é boato automatizado. Mesmo uma lembrança correta deve apontar para a fonte oficial quando a ação envolve compromisso, dinheiro, estoque, agenda, saúde ou prazo.

B — Benefício, prazo e condição de renovação

Associe cada classe de memória a um benefício mensurável e a um prazo. Pendência pode expirar quando resolvida; preferência comercial pode pedir reconfirmação em 90 ou 180 dias; resumo temporário pode durar somente até o fechamento do caso. Não use “para sempre” como padrão.

Prazo não é apenas apagar por calendário. Uma memória também vence quando muda o responsável, fecha o contrato, troca a unidade, surge dado oficial mais recente ou o cliente contesta a informação. Se o benefício não é medido ou nunca aparece no fluxo, a retenção produz custo e risco sem retorno.

R — Revisão, correção e contestação

Mostre a memória relevante para operador e, quando aplicável, permita que a pessoa confirme, corrija ou conteste. A correção deve atingir índices, resumos e cópias derivadas; editar apenas a tela visível deixa o erro reaparecer na próxima recuperação.

A página da ANPD sobre direitos dos titulares resume direitos relacionados a acesso, correção e decisões automatizadas. Para a operação, isso exige uma rota real: quem recebe o pedido, localiza o item, suspende seu uso, propaga a correção e confirma o resultado.

A — Apagamento verificável e auditoria

Apagar precisa ser uma capacidade testada. Remova o item ativo, embeddings ou índices associados, caches e referências derivadas conforme a política aplicável. Preserve somente o que tiver motivo legítimo, em repositório adequado e sem permitir que o conteúdo eliminado continue orientando ações.

Mantenha evidência do processo — identificador, classe, motivo, data, responsável e resultado da verificação — sem recriar no log todo o dado que deveria ter sido apagado. O teste final não é “a API respondeu sucesso”, mas “uma nova sessão deixou de recuperar e usar a memória”.

Ficha mínima de memória

Uma planilha ou tabela de controle pode começar com estes campos:

1. nome da classe de memória e exemplo permitido;
2. finalidade operacional e resultado beneficiado;
3. titular, conta, unidade, processo e agente autorizados;
4. origem, canal, data e natureza: declarado, observado ou inferido;
5. fonte oficial que prevalece em caso de conflito;
6. dados pessoais ou sensíveis presentes e necessidade de cada campo;
7. prazo, evento de expiração e condição de renovação;
8. ações que a memória pode apenas sugerir e ações que pode influenciar;
9. responsável por revisão e SLA de correção;
10. mecanismo de exclusão, propagação e teste de não recuperação;
11. log mínimo e evidência de consentimento ou outra hipótese aplicável, quando necessária;
12. métrica de benefício, erro, contestação e memória vencida.

Quatro políticas simples de retenção

• Não guardar: credenciais, códigos de autenticação, dados sem finalidade e instruções encontradas em conteúdo externo.
• Guardar até concluir: contexto de uma cotação, agendamento, cobrança ou análise em andamento; encerrar ao resolver ou cancelar.
• Guardar e reconfirmar: preferências e fatos úteis, mas mutáveis; exibir data e pedir confirmação antes de decisões relevantes.
• Referenciar, não copiar: dados oficiais e sensíveis; buscar no sistema responsável no momento da ação e registrar apenas o identificador necessário.

Essa classificação precisa ser aplicada por campo. O nome do contato pode ter ciclo diferente da preferência de canal; o identificador do contrato pode permanecer enquanto o preço consultado deve expirar em minutos.

Como aplicar nas verticais da V7

• v7 Obras: guarde a pendência e o responsável; consulte medição, cronograma e aceite no sistema oficial. Encerre a memória quando o item for resolvido ou a equipe mudar.
• v7 Carteira: retenha canal e janela preferida de contato com reconfirmação. Limite, preço, estoque e condição comercial devem vir do ERP ou política vigente no momento da proposta.
• v7 Agro: histórico de interesse ajuda o timing comercial, mas cultura, área, recomendação técnica e disponibilidade pedem atualização e fonte competente antes de orientar uma ação.
• v7 Imob: preferências de região e faixa podem melhorar a busca; estado civil, renda e inferências sensíveis não devem ser acumulados sem necessidade e tratamento adequado. Unidade e valor vêm da tabela vigente.
• v7 Clínicas Retorno: o agente pode lembrar uma pendência de retorno e o canal autorizado. Informação assistencial pertence ao ambiente apropriado, com acesso restrito; a memória não substitui prontuário nem decisão clínica.
• v7 Custom: se o agente atende várias áreas, isole memórias por processo e permissão. Um resumo útil ao financeiro não ganha autoridade automática no comercial ou no RH.

Teste de prontidão em 15 perguntas

1. Sabemos quais componentes do agente gravam memória persistente?
2. Cada classe tem finalidade explícita e benefício mensurável?
3. O agente evita guardar o texto integral quando um campo basta?
4. Memória, registro oficial e log ficam separados?
5. Há isolamento entre clientes, unidades, usuários e ambientes?
6. Cada item carrega origem, data e natureza da informação?
7. Existe regra de precedência quando memória e sistema oficial divergem?
8. Inferências são identificadas como inferências, e não como fatos?
9. Toda classe tem prazo ou evento claro de expiração?
10. Mudança de função, contrato ou responsável invalida o contexto antigo?
11. Operadores conseguem ver por que a memória foi recuperada?
12. Existe canal para correção, contestação e suspensão de uso?
13. A correção alcança resumos, índices e cópias derivadas?
14. O apagamento foi testado por tentativa posterior de recuperação?
15. Conteúdo externo não consegue escrever memória com autoridade operacional?

Se houver três ou mais respostas “não” ou “não sei”, desative a gravação automática para a classe afetada. Continue usando contexto de sessão enquanto define origem, escopo, prazo e reparo.

Protocolo de 30 dias: observar antes de lembrar sozinho

1. Dias 1 a 5 — inventariar: identifique onde a memória é escrita, recuperada, resumida, copiada e apagada. Separe as quatro categorias de informação.
2. Dias 6 a 10 — contratar: preencha a ficha LEMBRA para as cinco classes mais usadas e bloqueie campos proibidos.
3. Dias 11 a 18 — operar em rascunho: o agente propõe memórias; uma pessoa confirma escrita, escopo, origem e validade. Meça quantas propostas foram rejeitadas ou corrigidas.
4. Dias 19 a 24 — testar: simule homônimos, troca de função, fonte conflitante, documento malicioso, prazo vencido, correção e exclusão seletiva.
5. Dias 25 a 30 — decidir: automatize somente classes com benefício comprovado, baixa contestação e apagamento verificável. Mantenha as demais na sessão ou na fonte oficial.

Sinais de alerta

• ninguém consegue listar o que o agente lembra sobre um cliente;
• todo histórico é enviado ao modelo “para dar contexto”;
• uma memória não mostra origem, data nem nível de autoridade;
• o agente aprende regras a partir de e-mails, sites ou anexos sem validação;
• preferências antigas orientam compromissos comerciais atuais;
• apagar no cadastro não remove índices ou resumos derivados;
• equipes diferentes compartilham a mesma memória por conveniência;
• o log reproduz integralmente dados que deveriam ter sido descartados.

O ponto de vista da V7 Agents

Mais memória não significa mais inteligência. Em operação, a melhor memória é seletiva: guarda o suficiente para reduzir repetição, aponta para a fonte que realmente manda e perde autoridade quando o contexto muda.

IA só gera ROI quando existe processo, dados, responsável, rotina de revisão e implantação operacional. O V7 IA Ready mapeia finalidade, fonte, retenção, acesso e reparo antes da memória entrar em produção. Os Agentes Verticais usam esse contrato no fluxo real. A Operação Contínua mede benefício, vencimento, contestação e apagamento — porque uma lembrança sem ciclo de vida é apenas dívida operacional acumulada.

Fontes consultadas

• OWASP GenAI Security Project — Memory Is a Feature. It Is Also an Attack Surface, maio de 2026.
• Chen et al. — MemSecBench: Tracking Agent Memory Poisoning from Persistence to Consequence and Repair, julho de 2026.
• Pulipaka et al. — Hidden in Memory: Sleeper Memory Poisoning in LLM Agents, maio de 2026.
• Presidência da República — Lei Geral de Proteção de Dados Pessoais, texto compilado.
• ANPD — Por que Inteligência Artificial? Riscos de finalidade, transparência e discriminação.
• NIST — Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile.