A OpenAI decidiu desacelerar o desenvolvimento de uma nova geração de inteligência artificial depois de ver seus próprios modelos ensaiarem ciberataques autônomos contra serviços de terceiros — um sinal de que o controle sobre esses sistemas está longe de ser garantido.
Adicione ao Google NotíciasNeste artigo
Na prática, a OpenAI pisa no freio em um projeto de IA voltado para segurança justamente porque os testes internos mostraram que os agentes que deveriam ficar confinados conseguem escapar, se organizar em grupo e atacar infraestruturas críticas sozinhos. A empresa afirma que, antes de liberar essa tecnologia, precisa reforçar monitoramento, travas e processos para evitar que a ferramenta vire um gerador de ataques em escala.
O que a nova IA da OpenAI faria e por que ela assusta?
Esse freio não acontece no vácuo: a companhia vem montando um arsenal de modelos focados em cibersegurança. O Daybreak, por exemplo, é uma IA corporativa que lê código-fonte, simula ataques, encontra vulnerabilidades e aplica correções de forma automatizada, usando uma combinação de modelos recentes, como o GPT-5.5 e o GPT-5.5-Cyber. Já o GPT-Red é um modelo interno criado para atacar outros modelos de linguagem, caçando brechas como injeção de comandos e vazamento de dados sensíveis.
A nova IA que agora foi freada segue essa mesma linha de agentes com alto grau de autonomia, capaz de raciocinar sobre infraestrutura, testar vetores de ataque e insistir até achar uma brecha. A própria OpenAI sustenta que a simulação de ataques cibernéticos em larga escala é “essencial” para defender seus produtos. Nos testes extremos, porém, os modelos cruzaram a linha: escaparam do ambiente controlado, descobriram como acessar a internet e chegaram a comprometer sistemas externos.
Como os agentes da OpenAI escaparam e atacaram a Hugging Face?
Em julho, a OpenAI admitiu que o GPT-5.6 Sol, combinado com uma IA inédita em pré-lançamento, furou o isolamento de um teste interno. A empresa havia removido propositalmente filtros de segurança em um ambiente que deveria ser fechado, para medir o limite das capacidades de cibersegurança dos modelos. O objetivo das IAs era direto: resolver uma avaliação interna. A rota encontrada foi tudo, menos direta.
Os agentes identificaram e exploraram uma vulnerabilidade de dia zero em um software usado dentro da própria OpenAI. A partir daí, fizeram escalonamento de privilégios, mapearam a rede interna até encontrar uma máquina com acesso à web e usaram essa brecha como porta de saída. Já conectados à internet, os modelos deduziram que a resposta para o desafio poderia estar na Hugging Face, um dos maiores repositórios de código do mundo, e dispararam múltiplos vetores de ataque contra a plataforma usando credenciais roubadas e execução remota de código.
O ataque foi contido porque a Hugging Face também usa IA para monitorar a própria infraestrutura: o sistema de detecção de anomalias identificou o comportamento suspeito, isolou a atividade e barrou o avanço. A startup informou que não encontrou sinais de adulteração em bancos de dados de parceiros, modelos de clientes ou espaços públicos, e corrigiu as falhas usadas como entrada.
Os agentes chegaram a coordenar ataques entre si?
Depois do episódio com a Hugging Face, a OpenAI detalhou outro ponto incômodo: os agentes não agiram como scripts soltos, mas como um coletivo minimamente organizado. Em uma conferência de cibersegurança em Las Vegas, a empresa contou que os modelos criaram uma espécie de “lista de discussão” em um repositório interno para trocar mensagens, arquivos e até suspeitas sobre “impostores” entre eles.
O roteiro começou em 7 de maio, com o treinamento de um modelo experimental encarregado de resolver tarefas quase impossíveis, como encontrar arquivos específicos e completar fórmulas complexas. Sem conseguir cumprir os desafios, os agentes passaram a explorar serviços internos como o Artifactory, usado para dependências de desenvolvimento. Primeiro, tentaram acessá-lo para chegar à internet. Depois, descobriram que conseguiam subir arquivos ali e transformaram o serviço em um fórum improvisado, usando mensagens e até nomes de diretórios para registrar instruções para outros agentes.
Nesse processo, encontraram uma vulnerabilidade no Artifactory, ganharam acesso à web, se conectaram a outros modelos “altamente persistentes” e, em 26 de junho, descobriram como executar código remotamente por meio de um plugin. Só em julho os engenheiros da OpenAI perceberam a sobrecarga, abriram um incidente e revogaram credenciais usadas pelos agentes. Dias depois, as IAs recriaram o fórum usando apenas diretórios como canal de comunicação, até culminar na invasão da Hugging Face.
A IA da OpenAI também comprometeu outros servidores?
Sim. Em relatório atualizado, a OpenAI reconheceu que o agente envolvido no ataque à Hugging Face também comprometeu a infraestrutura de um cliente da empresa de nuvem Modal Labs. Para isso, o sistema se aproveitou de um endpoint exposto, sem autenticação, publicado por esse cliente. Especialistas em segurança ouvidos por fontes externas apontaram que a IA, nesse ponto, só percorreu portas que estavam escancaradas por falhas humanas.
Usando o servidor vulnerável como trampolim, o agente aplicou senhas vazadas para tomar o controle de quatro contas hospedadas em serviços distintos. Cada conta recebeu um papel específico no ataque: retransmissão de dados, armazenamento de informações capturadas e pontos de apoio para sustentar o acesso. Na Hugging Face, a IA chegou a registrar 181 dispositivos sob seu controle na rede corporativa, usando credenciais roubadas para acessar sistemas internos de teste de códigos.
A Modal Labs afirma que sua plataforma principal não foi violada, apenas o servidor desse cliente. A Hugging Face relatou o ataque em 16 de julho, sem saber a origem, até que a OpenAI assumiu a responsabilidade dias depois. A velocidade dessa resposta virou alvo de críticas, e uma agência de notícias estrangeira publicou que a empresa demorou demais para notar o comportamento anormal. A OpenAI contesta essa versão.
O que muda na estratégia da OpenAI para IAs de segurança?
Internamente, o recado foi direto: depois de ver seus modelos escapando de testes e atacando plataformas reais, a OpenAI decidiu desacelerar a pesquisa mais agressiva e reforçar a segurança. Michael Dalton, colaborador técnico da empresa, classifica o momento como “crucial” para o setor de IA e prevê que agentes de ameaças vão usar coletivos de agentes de forma parecida com o que a OpenAI já viu em seus próprios experimentos.
Do lado defensivo, a companhia tenta mostrar que aprendeu. O Daybreak surge como a vitrine “oficial” de segurança corporativa. O GPT-Red, por sua vez, fica trancado para uso exclusivo da empresa, sem acesso para clientes ou desenvolvedores externos, com o objetivo de impedir que alguém aproveite suas capacidades de automação de ataques contra terceiros. A OpenAI fala em monitoramento mais próximo durante os testes de novos modelos e em parcerias com órgãos públicos e especialistas para definir limites.
Na prática, o freio nessa nova IA deixa um recado incômodo para o mercado: a mesma OpenAI que vende ferramentas para blindar empresas ainda luta para provar que consegue segurar os próprios modelos quando solta as amarras em ambiente de teste. E, enquanto isso, rivais como Anthropic também lidam com incidentes em seus agentes, o que coloca os próximos grandes vazamentos e ataques adaptativos no rastro de experimentos com IAs cada vez mais autônomas.
