Síntese da Parte 3¶

Parte 3 tratou agente como sistema distribuído, não como prompt inteligente. O que ficou estabelecido:

Agency é função de espaço de ação, ferramentas, permissões e políticas. Aumentar agency sem aumentar controles é o erro recorrente.
Harness é o produto real, o modelo é só um componente.
Workflow-first é defensável na maior parte dos casos enterprise; multi-agent só com decomposição real.
Tool use é a camada mais sensível. Function calling, tool registry, MCP, A2A, versionamento, lifecycle - tudo isso é engenharia, não detalhe.
MCP e A2A são protocolos, não mecanismos de segurança. Autorização, identidade, audit log, eval e HITL continuam sendo responsabilidade do sistema.
Memória é decisão do sistema, não propriedade do modelo. Sem governança, vira fonte de poisoning e de inconsistência.
Prompt não é política, tool description não é segurança, depreciação não é só metadata. Os três anti-padrões mais recorrentes em agentes corporativos.

Parte 4 entra em segurança e governança com essas bases assumidas, e trata como disciplina transversal - não como camada final.