Kill switch

Também chamado de: botão de desligar, desligamento controlado, interruptor de emergência. No vocabulário do portal, “kill switch” e “botão de desligar” são o mesmo mecanismo — a forma em inglês aparece na documentação técnica de produto, a em português no texto para quem decide.

O que garante, na prática

Três coisas, todas testáveis: o botão existe de verdade (não é “peça para o suporte desligar”); está acessível a quem opera o processo no dia a dia, não só a quem programou o agente; e acionar não depende de terceiro — não é preciso abrir chamado nem esperar janela de manutenção do fornecedor.

Um agente sem essas três condições pode até ter um botão de “pausar” na interface — mas se pausar depende do suporte responder o e-mail, o kill switch não existe. O teste do portal é sempre o mesmo: o que acontece se alguém aciona agora, sem avisar ninguém?

Por que não basta “desligar o servidor”

Desligar a infraestrutura para conter um agente é gambiarra, não kill switch: derruba tudo que roda ali, inclusive o que não tem nada a ver com o incidente, e geralmente exige acesso que quem opera o processo não tem. Kill switch é desenhado dentro do produto, com escopo do tamanho do problema — pausa este agente, este fluxo — e devolvido a quem responde pelo processo, não só a quem o construiu.

Onde entra nos cinco princípios e na metodologia

É a peça central do terceiro dos cinco princípios da empresa agêntica: “mantém o botão de desligar. Todo agente tem permissão limitada, registro e kill switch acessível a quem opera.” Nos critérios de metodologia, “desligamento” é um dos cinco critérios verificáveis de qualquer classificação na Escala — sem ele, o uso não recebe nível.

Ver também: agente de IA corporativo; implantação cega.