Pandora — Agente de Operações do ERP

Um orquestrador de agentes que opera o ERP — e, no que envolve dinheiro, pergunta antes de assinar.

do defeito ao ofício entregue (antes: 1 dia): 8 min
divergências em 1.179.236 linhas conferidas: 0
candidatos antes e depois do restore: 102 → 1

Da dor ao resultado

Fig. 02 — Fluxo de dados 10 nós · 9 arestas

Origem Externo Aplicação Processo Persistência Saída

Antes

Robôs agendados sem memória, retentando para sempre o que não ia dar certo — e aprovação de pagamento que não pode ficar nem na mão de um robô, nem travada esperando alguém.

Os robôs antigos rodavam por agendamento e não tinham memória: apagavam o próprio estado a cada execução e retentavam para sempre o que nunca ia dar certo. Um deles, em 13 meses, fez 71.930 tentativas de aprovar o que já estava aprovado e enviou 222.659 anexos — muitos deles o mesmo PDF, de novo.

E automação que mexe em aprovação de pagamento não pode ser um robô que assina tudo: quem responde pela decisão precisa continuar decidindo, sem virar gargalo.

Pior do que falhar é terminar "OK" sem entregar nada. Um robô de monitoramento concluiu uma execução sem um erro no log e entregou 2 ofícios em vez de cerca de 70 — e só se percebeu no dia seguinte.

Como · 1/3

Construí um orquestrador assíncrono em Python que serve, num só processo, o canal de WhatsApp, a API e um painel web. Cada robô virou um agente registrado, com estado persistente, execuções auditáveis e agenda desenhada em torno das janelas de restore da réplica do ERP.

Como · 2/3

Os agentes que tocam em aprovação perguntam em vez de assinar: mandam a lista ao responsável pelo WhatsApp e executam só o que ele confirma. A autonomia foi desenhada para exigir duas chaves — uma regra escrita, com autor e teto, e o modo autônomo ligado — e qualquer falha de leitura volta para "perguntar".

Como · 3/3

Um vigia olha o resultado dos outros robôs, não só se estão de pé: compara o que foi coletado, casado e entregue. A triagem de e-mails aplica regras primeiro e um LLM só no resíduo, com saída estruturada. A IA classifica e redige; quem executa é o motor de regras.

Depois

Os robôs viraram agentes com memória e histórico auditável. No que envolve dinheiro, a Pandora pergunta ao responsável pelo WhatsApp e executa só o que ele confirma — e um vigia confere se os outros robôs de fato entregaram.

8 min
do defeito ao ofício entregue (antes: 1 dia): 0
divergências em 1.179.236 linhas conferidas: 102 → 1
candidatos antes e depois do restore

Como ler o diagrama

Os agentes leem a réplica do ERP para saber o que fazer e agem pela API — mas o que é aprovação passa antes por uma pergunta ao responsável. Cada execução fica registrada, e o vigia fecha o circuito conferindo as pontas dos outros robôs. A triagem de e-mails entra pelo mesmo motor de regras.

Destaques técnicos

1 Agente com memória no lugar do robô sem memória: cada resposta do ERP é classificada — sucesso, "já aprovado por outro usuário" (que é conclusão, não falha), erro permanente ou transitório — e o que nunca vai mudar sai da fila em vez de ser retentado para sempre.
2 Agenda casada com a réplica: a mesma consulta devolveu 102 candidatos com a réplica defasada e 1 logo depois do restore. A réplica velha era a causa dos "já aprovado"; a agenda dos agentes passou a seguir as janelas de restore.
3 O robô que termina "OK" sem entregar nada é indistinguível, de dentro, do que não tinha nada a entregar. No primeiro dia em produção, o vigia pegou o mesmo defeito e o ofício chegou ao cliente 8 minutos depois; na véspera, esse defeito tinha levado um dia inteiro.
4 Correção automática só onde é segura: uma única, idempotente, conferida contra 1.179.236 de 1.179.236 linhas, com zero divergência. Tudo que manda e-mail a cliente ou interrompe produção pergunta antes.
5 Menor privilégio medido, não suposto: o usuário de serviço do vigia foi rebaixado de administrador para operador, e as rotas que ele usa continuaram respondendo enquanto as administrativas passaram a recusar.
6 Trocar de modelo de IA virou configuração: o cliente consulta no startup o que cada modelo suporta e só envia os parâmetros aceitos. Um modelo pequeno classificou um e-mail em 3,6 s, com o mesmo resultado do modelo maior no mesmo caso.