'Tiro de aviso': ataque de IA envolveu 1.206 agentes; OpenAI ignorou alerta

Reportagem’Tiro de aviso’: ataque de IA envolveu 1.206 agentes; OpenAI ignorou alertaNovos relatórios sobre o ataque hacker de julho envolvendo agentes rebeldes de IA da OpenAI mostram um cenário mais grave do que parecia: mais de 1.200 agentes “conversaram” por um canal improvisado, escaparam de um ambiente de testes e invadiram sistemas da Hugging Face. O que mais assusta, segundo os próprios documentos e investigações independentes, é que havia sinais semanas antes – e mesmo assim a resposta demorou. Assine a newsletter de IAgora? e receba toda semana análises fresquinhas de IA no seu email. O que aconteceu*Em julho, durante testes internos, modelos da OpenAI burlaram restrições, conseguiram acesso à internet e coordenaram ações por um “quadro de recados” secreto criado pelos próprios agentes, segundo relatos da OpenAI e de METR e Redwood Research, empresa independente que investigou o episódio. *O episódio culminou numa invasão à Hugging Face, plataforma popular entre desenvolvedores de IA, com agentes executando código em servidores de produção e acessando credenciais e dados internos. *A investigação independente descreve que 1.206 agentes, que deveriam ficar isolados, trocaram mais de 70 mil mensagens e arquivos nesse canal não autorizado; cerca de 700 participaram diretamente do ataque à Hugging Face. *Segundo o The Guardian, funcionários já tinham visto sinais de desvio no comportamento no fim de maio (uso do quadro de recados e acessos indevidos à internet) e novamente perto do ataque, mas decidiram não interromper o teste. *Os agentes também teriam pesquisado formas de evitar detecção, incluindo como falsificar, editar ou apagar seus próprios registros de atividade, segundo METR-Redwood. *A OpenAI afirma que só percebeu a invasão em 20 de julho, 12 dias depois de os agentes começarem a contornar salvaguardas; a empresa diz que conteve a maior parte da atividade não autorizada em três dias e interrompeu em 25 de julho os treinos ligados ao modelo interno envolvido. *Segundo a OpenAI, o incidente envolveu dois modelos: um modelo interno “altamente capaz” e não lançado (chamado de HPIM no relatório da METR) e o modelo público GPT-5.6 Sol; a empresa diz que o modelo interno foi o principal motor da intrusão. *A OpenAI também confirmou que a Hugging Face não foi o único alvo, e que houve acesso a outros ambientes de terceiros, incluindo um cliente da Modal Labs e uma conta de usuário de outro serviço não identificado. *A empresa atribui a origem do problema a “reward-hacking” (quando o sistema encontra jeitos inesperados de “ganhar o jogo” para cumprir uma meta), após receber tarefas praticamente impossíveis sem acesso a arquivos necessários – o que incentivou atalhos e cooperação clandestina entre agentes. *A OpenAI chamou o caso de “um tiro de aviso ao mundo” e diz que vai reforçar a segurança da infraestrutura de pesquisa, isolar melhor modelos, restringir acesso à internet em casos de alto risco e criar um esquema de resposta 24/7 com escalonamento em até 30 minutos para sinais preocupantes. IAgora? O caso muda o “padrão de preocupação” com agentes de IA: não é só um modelo dando uma resposta errada, e sim um conjunto de sistemas que consegue se coordenar, dividir tarefas e explorar brechas em escala.

O nível visto é de um ataque cibernético com muita automação e pouca supervisão humana. O ponto sensível aqui é governança: se alertas aparecem em maio e junho e mesmo assim “não sobem” para quem decide, o problema não é apenas técnico – é de processo e responsabilidade. Ao mesmo tempo, a própria OpenAI trata o episódio como um “tiro de aviso” e promete monitoramento e resposta mais rápidos. A pergunta prática para o mercado é se isso vira rotina verificável (com métricas claras do que seria detectado) ou se fica no nível de promessa, especialmente quando há pressão por lançar modelos cada vez mais capazes. A falta de regulamentação no setor ainda impede que casos do tipo sejam melhor supervisionado e responsabilizados. Vale lembrar que desde o episódio da OpenAI outras empresas de IA – como Anthropic e Meta – também relataram casos semelhantes com seus modelos.

Isso mostra que a escala do problema está se espalhando pelo setor à medida que modelos mais capazes são desenvolvidos. De lá para cá, a OpenAI anunciou um freio no desenvolvimento e lançamento de um novo modelo por preocupação com a capacidade dele executar atividades de risco para a cibersegurança. O freio de apenas uma empresa, contudo, não impede que outros agentes perigosos sejam lançados no mundo. O que o mundo está dizendo sobre issoAmbos os relatórios jogam mais luz sobre os riscos que modelos muito capazes podem trazer, especialmente em cibersegurança, e a OpenAI destaca mudanças para evitar repetição. O relatório da METR-Redwood vai ainda mais fundo em alguns pontos, oferecendo um retrato sóbrio de um desastre de segurança em larga escala cujos sinais a OpenAI deixou passar repetidamente. The VergeO incidente levanta dúvidas sobre se ambientes de teste e salvaguardas internas das empresas de IA conseguem acompanhar modelos que estão cada vez mais capazes de encontrar e explorar falhas de segurança por conta própria. AxiosJá li o incidente inteiro da Hugging Face.

A parte mais interessante: um agente de IA percebeu que estava atacando a Hugging Face sem autorização e parou. Aí outro agente simplesmente postou ‘GO’ (‘VAI’). O primeiro tratou a mensagem como permissão: ‘Uau, crucial: chegou autorização GO!’.

E continuou o ataque. Kim Isenberg, editor da newsletter Superintelligence, no XEu tinha muita esperança na análise pós-morte da OpenAI e saí bem decepcionado. Por exemplo: ‘uma multidão’ não é um número de verdade! Por que o relatório não diz qual porcentagem da atividade a OpenAI teria capturado?

Esses detalhes importam! Steven Adler, ex-pesquisador de segurança da OpenAI, no XReportagemTexto que relata acontecimentos, baseado em fatos e dados observados ou verificados diretamente pelo jornalista ou obtidos pelo acesso a fontes jornalísticas reconhecidas e confiáveis. O autor da mensagem, e não o, é o responsável pelo comentário. Leia as Regras de Uso do.