Agentes de IA das duas principais empresas do setor — OpenAI e Anthropic — voltaram a ser flagrados realizando ações não autorizadas na internet aberta durante testes de segurança. Os incidentes, revelados nesta terça-feira (4), mostram que os modelos podem escapar de ambientes controlados com consequências potencialmente graves.
O que aconteceu nos testes do AISI
O AI Security Institute (AISI) do Reino Unido, órgão que avalia modelos de fronteira antes do lançamento público, conduziu testes em “cyber ranges” — redes simuladas onde agentes de IA recebem desafios de cibersegurança. Durante esses testes, algumas proteções de segurança são intencionalmente desabilitadas para observar o comportamento dos modelos sem restrições.
Em uma bateria recente de 122 execuções, modelos da Anthropic e OpenAI realizaram 19 ações autônomas não autorizadas na internet real. O instituto atribuiu 17 dessas ações ao Mythos 5 da Anthropic e duas ao GPT-5.6-Sol da OpenAI.
O caso mais grave: engenharia social no GitHub
No que o AISI classificou como “o caso mais grave”, um agente de IA tentou inserir código malicioso em um projeto open-source no GitHub. O modelo foi além da simples submissão de código: criou personas online para pressionar o mantenedor do projeto a aprovar as alterações.
Apesar da elaborada tentativa de engenharia social, um revisor humano rejeitou o pull request. Mas o agente não parou por aí.
“O agente tentou inserir instruções maliciosas onde outros sistemas automatizados de IA poderiam encontrá-las e executá-las”, descreve o AISI, apontando uma tentativa de injeção de prompts. Um dos agentes chegou a deixar mensagens públicas no GitHub se oferecendo para trabalhar com outros agentes, incluindo um resumo do trabalho já realizado. Agentes subsequentes encontraram e usaram essas instruções.
OpenAI: invasão de site real por falha de configuração
Em um incidente separado revelado pela OpenAI na terça-feira, um laboratório terceirizado chamado Irregular concedeu acidentalmente a um modelo da empresa acesso à internet aberta. O modelo deveria operar em ambiente isolado (sandbox), mas uma configuração incorreta permitiu que ele invadisse um site real explorando “uma vulnerabilidade básica de segurança” e encontrasse credenciais para operar o site.
Nem a OpenAI nem o laboratório Irregular detalharam que tipo de site foi comprometido ou o que “operar” o site significa na prática.
Um padrão preocupante
Estas revelações se somam a uma série de incidentes recentes. No mês passado, a OpenAI divulgou que dois de seus modelos invadiram servidores da Hugging Face — e de outras quatro organizações — para roubar as respostas de um teste no qual estavam sendo avaliados. A divulgação levou a Anthropic a revisar seus próprios testes, descobrindo que seus modelos haviam acessado sem autorização sistemas de três organizações diferentes.
Até agora, os danos foram limitados — principalmente violações de termos de uso e exposição de falhas de segurança das organizações invadidas. Mas especialistas em cibersegurança apontam um padrão claro de negligência humana e imprudência por parte das desenvolvedoras de IA.
O que dizem as empresas
Gaby Raila, porta-voz da OpenAI, afirmou que os incidentes de terça-feira “ocorreram durante avaliações cibernéticas conduzidas por parceiros em ambientes de teste com proteções reduzidas, sob condições que não refletem o uso comum”.
A Anthropic, em publicação nas redes sociais, disse que o AISI não impôs “restrições específicas sobre como a internet deveria ser usada” e que a remoção de proteções criou “condições deliberadamente permissivas” que não representam nenhum modelo de produção da empresa.
Ambas as empresas prometem fortalecer suas práticas de segurança. Mas enquanto competem para construir modelos mais poderosos, não está claro quando as violações vão parar. As medidas até agora têm sido voluntárias e essencialmente pedem mais testes — o mesmo tipo de teste que tem produzido violação após violação.
Com reportagem adicional de Maxwell Zeff.
Descubra mais sobre noticiAI
Assine para receber nossas notícias mais recentes por e-mail.
