Agentes de IA no trading: como funcionam e suas falhas

Agentes de negociação de IA em cripto são sistemas autônomos que utilizam ferramentas, que pegam um objetivo que você digita em inglês simples e o transformam em ações de múltiplos passos em exchanges, carteiras e ambientes on-chain. A vantagem não está tanto em "sinais mais inteligentes" e sim em controlar uma camada de execução que pode ser enganada por contextos não confiáveis, intenções mal especificadas ou memória envenenada.

Principais Conclusões

• Um agente de negociação de IA pode interpretar intenções, planejar etapas e chamar várias ferramentas, enquanto um bot de negociação normalmente executa regras fixas de se-então que você pré-configura.
• Configurações modernas de agentes dependem de "habilidades" que mapeiam instruções de chat em ações específicas de API, o que transforma permissões e portas de confirmação na principal superfície de segurança.
• Incidentes reais mostram falhas específicas de agentes, como injeção de prompt, injeção de comando indireta via respostas sociais e “memórias falsas” persistentes que redirecionam transações.
• As plataformas estão escalando rapidamente, mas as alegações de desempenho ainda são principalmente marketing, então a avaliação se parece mais com a devida diligência de infraestrutura do que com “compras de alfa.”

Como os agentes de negociação de IA diferem dos bots

A automação baseada em regras existe desde as primeiras APIs de troca, e a maioria dos traders de varejo já viu o menu familiar: grade,DCA, simplesloops dearbitrageme scripts de alerta para pedido. Esse é o modelo clássico debot de negociação.

Agentes de negociação de IA mudam a interface e a fronteira de responsabilidade. Em vez de configurar um painel de estratégia, o usuário escreve a intenção em linguagem natural e o agente decide quais ações tomar para satisfazê-la.

Isso pode parecer “rebalancear meu livro à vista”, “reduzir a exposição se o financiamento disparar” ou “hedgear este risco de evento”, seguido pelo agente verificando dados, selecionando instrumentos e colocando ou modificando ordens. É por isso que “agentes de IA são apenasbots de negociação"com o ChatGPT" é um erro de categoria. O agente não está apenas executando. Ele está selecionando e sequenciando ações.

A consequência importante é operacional, não filosófica. Os modos de falha de um bot de negociação se concentram em parâmetros ruins, dados ruins ou uma conexão de câmbio quebrada. Os modos de falha de um agente de negociação autônomo incluem esses, além de interpretação errada de intenções e uso inadequado de ferramentas.

Se o agente pode navegar, ler feeds sociais e também mover dinheiro, o modelo de ameaça se expande de "a estratégia funcionou" para "o agente pode ser direcionado". É por isso que a postura vencedora trata um agente de negociação de IA como um trader júnior: útil, rápido e absolutamente não confiável com discrição ilimitada.

O mecanismo por trás do trading agentivo

Três camadas estão entre uma instrução digitada e um pedido preenchido: interpretação, planejamento e chamadas de ferramentas. A parte que a maioria dos usuários percebe é a interface de chat. A parte que importa é o limite da ferramenta onde as palavras se tornam gravações de API.

Um fluxo típico se parece com isto:

1. O usuário fornece a intenção. Um bom prompt se parece com um ticket de pedido: instrumento, local, direção, tamanho, tempo de validade, máximo.desvio, e condições explícitas de “não fazer nada a menos que X”. 2. O agente interpreta e planeja. Ele divide o objetivo em subtarefas como “verificar saldos”, “obter preço de mercado”, “escolher tipo de ordem”, “fazer ordem” e “verificar posição”. 3. O agente executa por meio de ferramentas.

Essas ferramentas geralmente são agrupadas como “habilidades”, significando módulos padronizados que expõem funções como fazer ordem, cancelar ordem, consultar posições ou mover fundos. 4. Salvaguardas decidem se a gravação acontece. É aqui que vivem os portões de confirmação, avisos de tamanho, padrões de testnet e escopo de permissões.

Duas implementações concretas mostram o que “habilidades” significam em uma tela. O AI Hub da Bybit é descrito como conectando assistentes de IA a 274 endpoints da API da Bybit e exigindo um passo de CONFIRMAÇÃO digitado para ações de escrita, com avisos extras para grandes ordens.

A WEEX descreve “Habilidades do Agente” como uma interface de capacidade padronizada onde os desenvolvedores empacotam funções de ferramentas em módulos de habilidade que podem ser chamados via linguagem natural.

Essa camada de “habilidades” é a verdadeira área de superfície do produto. Cada nova habilidade expande o que o agente pode fazer, e cada expansão é outra fronteira de permissão onde a intenção pode ser mal especificada ou maliciosamente reformulada. O Model IQ não corrige isso. Os controles fazem.

Onde os agentes são usados em cripto

Os casos de uso atuais se agrupam em torno da conveniência de execução e compressão de fluxo de trabalho. Os agentes estão sendo posicionados como uma interface para negociação automatizada de cripto: pesquisa na mesma janela que a execução, menos cliques, menos troca de contexto e a capacidade de executar tarefas em múltiplas etapas sem que o usuário conecte endpoints.

Do lado da plataforma, a Bybit enquadra o AI Hub como uma camada de habilidade em escala de exchange que se conecta a assistentes comuns e expõe um grande conjunto de endpoints para dados de mercado e ações de conta, com salvaguardas de confirmação.

Do lado adjacente à exchange, a WEEX destaca “Habilidades do Agente” como uma forma de permitir que assistentes de IA chamem funções de exchange diretamente da linguagem natural, e lista ecossistemas e estruturas de agentes que enfatizam o uso de ferramentas e memória.

As métricas de adoção estão se movendo mais rápido do que a base de evidências sobre desempenho. A WEEX relata que o Virtuals Protocol hospeda mais de 15.800 projetos de IA e gera $477 milhões em “GDP Agente (aGDP)” até fevereiro de 2026. Também relata que o tokenbot/CLANKER lançou 21.870 tokens em um dia e as taxas semanais do protocolo atingiram $8 milhões, com taxas usadas para recomprar e queimar CLANKER. Esses números sinalizam escala e experimentação, não vantagem comercial auditada.

Este também é o lugar onde “cópia de negociaçãose encaixa no mapa.Cópia de negociaçãoé um modelo de delegação de humano para humano onde o usuário espelha as negociações de outra conta. A negociação agentiva é uma delegação de humano para agente onde o usuário delega a execução e a sequenciação para o software. A sobreposição é que ambos estão terceirizando partes do fluxo de trabalho.

A diferença é que os agentes introduzem um novo plano de controle: prompts, habilidades, memória e ingestão de contexto externo.

Falhas de segurança e caminhos reais de ataque

Dois incidentes reais e uma linha de pesquisa definem o modelo de ameaça específico para agentes: injeção de prompt, injeção de comando indireta através de conteúdo não confiável e envenenamento de memória que persiste.

Akinciborg descreve o incidente Freysa em novembro de 2024, onde um agente autônomo transferiu 13,19 ETH (cerca de $47.000) após ser manipulado através de confusão de função e intenção. O ataque reformulou o que significava uma chamada de ferramenta, direcionando o agente a executar uma transferência enquanto ele "acreditava" que estava cumprindo suas regras. Esse é o problema central do agente: o modelo raciocina sobre a linguagem, e a linguagem pode ser adversarial.

Akinciborg também descreve um incidente AIXBT em março de 2025 envolvendo cerca de 55 ETH (cerca de $100.000) perdidos, ligado ao acesso não autorizado ao painel e injeção de comando maliciosa impulsionada por redes sociais. A resposta incluiu pausar o painel, migrar servidores e rotacionar chaves. A lição não é "não leia redes sociais."

A lição é que permitir que um agente leia X respostas e também execute ações de movimentação de fundos cria um caminho onde o atacante não precisa violar sua carteira diretamente. Eles podem direcionar o agente através das entradas que ele já confia.

A "manipulação de contexto" no estilo Princeton adiciona persistência. Um resumo do Medium sobre a pesquisa de Princeton descreve atacantes injetando "memórias falsas" no contexto armazenado de um agente, incluindo diretrizes que mais tarde influenciam transações. Métodos de ofuscação incluem caracteres hexadecimais e Unicode invisíveis, e os ataques podem aproveitar integrações como X ou Discord.

Isso importa porque quebra o modelo de segurança ingênuo de "o prompt atual parece bom." A instrução maliciosa pode ser armazenada, recuperada mais tarde e aplicada durante um pedido de outra forma normal.

A concepção errônea que prejudica os usuários é pensar que o principal risco são sinais ruins. Sinais ruins perdem dinheiro da maneira antiga. Ataques de prompt e memória perdem dinheiro enquanto o usuário pensa que o sistema está se comportando normalmente.

Salvaguardas práticas antes de conectar fundos

As barreiras não são uma experiência de usuário "agradável de se ter". Elas são os disjuntores mínimos viáveis para a execução agentiva, porque o trabalho do agente é transformar linguagem ambígua em gravações irreversíveis.

Um lançamento mais seguro segue uma ordem:

1. Comece em um sandbox. Se a plataforma oferecer comportamento de testnet por padrão, trate isso como obrigatório até que os logs mostrem que as chamadas de ferramentas do agente correspondem à intenção. 2. Escopo as permissões como o tamanho da posição. Use os menores escopos e limites de chave de API que ainda permitam as ações pretendidas. Expanda apenas após revisar o que o agente realmente fez. 3.

Exija confirmações explícitas para gravações. Confirmações digitadas e avisos de "grande pedido" são fricções que impedem que uma única instrução mal interpretada se torne um pedido preenchido. O design do AI Hub da Bybit, com CONFIRM digitado para ações de gravação e avisos extras para grandes pedidos, é o padrão correto. 4. Escreva prompts como bilhetes de pedido.

Especifique instrumento, local, direção, tamanho, tempo de validade, deslizamento máximo e condições de "não fazer nada, a menos que". Ambiguidade é como os agentes "ajudam" a fazer a coisa errada. 5. Trate a memória como uma responsabilidade. Se o agente armazenar notas, resumos ou preferências, rotacione ou limpe-os em um cronograma e nunca deixe a memória se tornar uma fonte de verdade não revisada para transferências ou aprovações.

Este também é o lugar onde as "Habilidades do Agente" merecem ceticismo. As habilidades são poderosas porque removem a codificação, mas também multiplicam o número de maneiras que a intenção pode ser mal especificada. Cada novo módulo de habilidade é outro limite onde um pedido que soa inofensivo pode ser mapeado para uma função perigosa.

O ponto mais amplo é que a negociação agente é uma camada de execução. Os traders devem avaliá-la da mesma forma que avaliam a infraestrutura: permissões, logs, portões de confirmação e contenção de falhas. Essa mentalidade se encaixa na categoria maior de negociação automatizada de criptomoedas, onde a parte difícil raramente é a entrada e quase sempre é o plano de controle.

Equívocos comuns sobre agentes de negociação de IA

"Agentes de IA são apenas bots de negociação com ChatGPT" falha porque ignora planejamento e orquestração de ferramentas. Bots executam lógica predefinida. Agentes interpretam a intenção, raciocinam com contexto e sequenciam ações entre ferramentas, razão pela qual podem fazer mais do que um único loop de estratégia.

"O principal risco são sinais ruins" ignora a nova classe de falhas. Injeção de prompt e injeção de comando indireta podem redirecionar solicitações normais em ações que movem fundos, e a manipulação de memória pode persistir entre sessões. O risco não é apenas risco de mercado. É risco de instrução.

"Se está em uma plataforma respeitável, é seguro" confunde barreiras de proteção com garantias. Portões de confirmação e avisos reduzem a execução acidental, mas incidentes como AIXBT mostram que perdas podem vir de entradas não confiáveis e fraquezas do plano de controle, como painéis e manuseio de chaves. Segurança é uma propriedade do sistema, não uma propriedade da marca.

"Mais habilidades significam um agente melhor" é um retrocesso se as permissões não forem projetadas primeiro. Habilidades são a superfície de ataque. Mais habilidades sem um escopo mais restrito é como adicionar novos tipos de pedidos sem adicionar limites.

A Conclusão

Eu vi traders obcecarem-se sobre se um agente "encontra melhores entradas" enquanto ignoram a parte que realmente muda o jogo: execução em muitas ferramentas. Uma vez que um agente de negociação de IA pode ler X respostas ou mensagens do Discord e também chamar funções de carteira ou de troca, deve-se presumir que eventualmente será enganado. A única questão é se as barreiras de proteção limitam os danos.

Eu vi o mesmo padrão em todas as ondas de automação nas mesas institucionais: os erros caros vêm da negligência no controle, e não de o modelo ser burro. O caminho no estilo AIXBT, onde entradas sociais e acesso ao painel se transformam em uma perda de seis dígitos, é o lembrete claro. Confirmações tipadas, permissões delimitadas e uma higiene de memória agressiva não são "paranoicas". Elas são o preço de usar execução agente dentro do trading automatizado de criptomoedas.

Fontes

• Bybit Learn
• WEEX
• Akinciborg Security
• Medium