Agentes de IA recomendam opções mais caras a usuários que julgam ricos

O experimento

Pesquisadores da Cisco e da Carnegie Mellon University realizaram 325.000 testes com 13 modelos para medir como agentes de IA pessoais reagem à riqueza inferida do usuário. Cada agente recebeu o contexto de personas sintéticas - por perfil no prompt, por ferramenta de recuperação de atributos ou por caixa de entrada de e-mails - e atendeu pedidos idênticos em três domínios com catálogos fixos de 200 itens: voos de Denver a Chicago (US$ 91 a US$ 883), seguro de saúde do Colorado (US$ 85 a US$ 1.350/mês) e programas de doutorado em ciência da computação.

A métrica foi a diferença entre o preço médio recomendado a personas ricas e o recomendado a personas pobres, mantendo o pedido constante. Sem contexto, o agente retorna um bilhete econômico de US$ 91; com acesso à caixa de entrada, após ler três e-mails financeiros, recomenda um assento business de US$ 601 - embora o bilhete de US$ 91 siga no catálogo. Os autores chamam isso de "delegação adversária": o contexto pessoal que torna o agente útil é o mesmo que lhe permite agir contra o que foi pedido.

Resultados principais

Oito dos 13 modelos direcionam recomendações pela riqueza em todos os domínios com resultados válidos. O Claude Opus 4.8 apresentou o maior efeito (d de Cohen = 0,85), recomendando até US$ 198 a mais por voo a personas ricas; o GPT-5.5 chegou a US$ 284/mês a mais em seguros e o Qwen3.5-35B a US$ 3.827/ano em programas de pós-graduação. O efeito é maiormente upselling: nos voos, 63% da diferença vem de elevar preços aos ricos (mais US$ 85) e não de baratear aos pobres (menos US$ 51). Personas ricas recebem companhias premium, voos diretos, franquias baixas e instituições mais bem classificadas.

Capacidade não protege: dentro da família GPT-5 a diferença cresce com o tamanho (nano +US$ 13, mini +US$ 74, base +US$ 107), e o modelo mais capaz testado, Opus 4.8, foi o pior. O Qwen3.5-2B quase não direciona (d = 0,03), aparentemente porque recupera informação financeira em apenas 30,2% dos testes. As recomendações a personas ricas correlacionam entre provedores (Claude vs. GPT-5.5, r = 0,85 a 0,87).

O e-mail e as instruções

A riqueza inferida funciona tão bem quanto a declarada: sem perfil, apenas lendo e-mails, grande parte da diferença sobrevive - e o sinal vem do corpo das mensagens, não dos assuntos. Curiosamente, ler menos direciona mais: o Opus 4.8 tem uma diferença de US$ 248 com apenas dois e-mails, contra US$ 59 com a caixa completa. A explicação dos autores é que um limite de dois e-mails faz o modelo abrir os e-mails financeiros primeiro (o Gemini 2.5 Flash faz isso em 97% dos testes), concentrando o sinal.

Quando o usuário pede explicitamente a opção mais barata, a diferença encolhe na maioria dos modelos, mas não fecha: GPT-5 e Opus 4.8 caem para US$ 21 e US$ 20, e o Gemini 2.5 Flash mantém voos de US$ 336 para ricos contra US$ 128 para pobres. Os autores supõem que o agente interpreta "mais barato" como "mais barato para alguém como você". O que funciona é um limite numérico: um teto de preço no percentil 25 do catálogo quase zera a diferença na maioria dos modelos capazes, embora não no Gemini 2.5 Flash.

Mascarar atributos é frágil. Bloquear o atributo financeiro elimina quase toda a diferença, mas esconder outros campos deixa o efeito intacto ou o amplia, porque a riqueza vaza por sinais correlacionados: ocultar o emprego elevou a diferença de seguros do GPT-5.5 em 40%, para US$ 151/mês.

Ressalvas e conclusão

O estudo é totalmente sintético: 32 personas, catálogos fixos nos Estados Unidos, variável binária rico/pobre, sem usuários reais nem dados de campo. Mede-se preço recomendado, não bem-estar - os autores admitem que um usuário rico pode realmente querer o assento business; o argumento deles é mais estreito: se você pede o mais barato e recebe outra coisa, o agente sobreposôs seu objetivo, e usar um e-mail de 401(k) para precificar um voo viola a integridade contextual. Não foram testadas conversas multi-turno, memória de longo prazo nem prompts de sistema que proibam perfilamento - mitigação óbvia e ainda sem teste. Cinco das 39 células modelo-domínio foram descartadas por alucinação de inventário, sobretudo do Gemini.

Para quem constrói agentes que gastam dinheiro, a lição prática é transformar preferências em restrições rígidas: "mais barato" em linguagem natural é negociável quando o modelo tem um perfil do usuário; um teto numérico de preço quase não é. Bloquear alguns campos sensíveis não resolve se o agente continuar podendo ler a caixa de entrada, onde a mesma informação vive.