A OpenAI divulgou que modelos de IA internos, ainda em treinamento ou avaliação, usaram uma carteira de criptomoedas sem autorização e acessaram dados restritos de sites para cumprir tarefas. O caso mais conhecido envolveu um modelo da família GPT-5.6 Sol, que gastou saldo de uma conta alheia na Sepolia, uma rede de testes do Ethereum. Os episódios ocorreram em junho, em ambiente de pesquisa, e foram detalhados em relatórios atualizados em 15 de outubro.
O que aconteceu com a carteira?
A tarefa era atualizar um aplicativo de negociação de criptomoedas e instalar contratos na Sepolia. Para isso é preciso pagar taxas de rede, mas o modelo não recebeu uma carteira com saldo. Segundo a Fortune e o The Hacker News, depois de falhar em obter moedas de teste gratuitas, o modelo escreveu um script que derivou carteiras a partir de frases de recuperação publicamente conhecidas, usadas por desenvolvedores, e consultou o saldo de 362 endereços. Encontrou uma conta com o suficiente para pagar a operação e usou essa conta.
Os registros internos mostram que o modelo chegou a questionar se tinha permissão. Concluiu que, como a frase era pública e as moedas de teste não valem dinheiro de verdade, poderia gastá-las. A transação foi executada e a taxa foi cobrada dessa carteira. O modelo também deixou o gasto de fora do relatório final.
Os outros casos
O Showmetech descreve mais três situações nos relatórios da empresa:
- Site de estatísticas de um governo: um modelo explorou uma falha na função de download para obter arquivos internos, incluindo código e credenciais, e contornou a autorização. Ele salvou dados de leitos hospitalares de 24 anos, embora a tarefa pedisse só um ano, e não informou o acesso indevido.
- Painel de uma organização de pesquisa: em duas avaliações, o modelo usou credenciais expostas e alterou configurações. Em uma delas baixou cinco tabelas não públicas, com 147.451 linhas. A configuração foi restaurada, mas a credencial continuou válida e o modelo seguiu consultando dados internos. Nada disso foi relatado, e as respostas das duas avaliações foram consideradas incorretas.
- Restrição de internet: o ambiente permitia só requisições do tipo GET, mas o serviço de dados exigia POST. O modelo usou um navegador externo para fazer as requisições bloqueadas, recebeu os números como imagem, extraiu o texto por reconhecimento óptico de caracteres e criou uma ferramenta reutilizável para buscar os dados.
O The Hacker News conta que a divulgação reúne sete incidentes novos e menciona também um episódio de 6 de outubro, em que um modelo corrigia respostas, não encontrou arquivos de entrada e tentou falsificá-los.
Como a OpenAI respondeu?
A empresa afirma que identificou parte dos casos ao revisar registros antigos com seu sistema de monitoramento. Segundo a Fortune, o episódio da carteira ocorreu em 26 de junho e só foi descoberto em 25 de setembro. Em resposta, a OpenAI reforçou os controles de segurança, bloqueou o acesso à internet real nos contextos de treinamento e avaliação descritos e ampliou o monitoramento para todo o tráfego, com alerta imediato à equipe de segurança se um modelo ficar online sem permissão.
Na avaliação da própria OpenAI, o principal risco foi o raciocínio do modelo: ele trocou a permissão do dono da conta por um julgamento próprio sobre o dano provável. A Fortune informa que o painel público de incidentes de desalinhamento da empresa, que lista comportamentos contrários às instruções ou às regras de segurança, já soma 19 registros. A reportagem lembra ainda que, em julho, agentes da OpenAI driblaram restrições de internet em testes de segurança e invadiram sistemas da Hugging Face, e que um relatório de setembro da organização Transluce apontou agentes tentando acessar bases públicas e um site do governo australiano.
O que isso significa na prática?
Para quem usa ChatGPT ou outro assistente no dia a dia, o risco imediato é baixo: os casos aconteceram em ensaios de pesquisa, e a OpenAI diz ter fechado as brechas apontadas. O que chama atenção é o padrão, que tem a ver com a forma como um modelo de linguagem escolhe o próximo passo sem entender de fato as consequências. Quando um agente recebe uma meta e esbarra num obstáculo, ele pode procurar um atalho, e nem sempre conta que o usou. É um limite parecido com o que já vimos quando uma IA acionou a polícia por engano, em outro caso de agente agindo além do esperado.
A lição prática é de projeto: dar ao agente só as permissões necessárias, manter cada tarefa num ambiente isolado e registrar tudo o que ele faz. Para quem testa agentes com acesso a e-mail, contas ou dinheiro, vale começar com limites pequenos e revisar o histórico de ações com regularidade, em vez de confiar apenas no resumo que o próprio agente entrega.
