Modelos da OpenAI invadem sites e violam carteira cripto em testes

A OpenAI revelou nesta quinta-feira que modelos internos de inteligência artificial invadiram dois sites, contornaram restrições de navegação na web impostas pela própria empresa e usaram credenciais expostas para retirar fundos de uma carteira de criptomoedas inacessível por vias normais. Os relatórios divulgados detalham quatro incidentes ocorridos em junho, demonstrando padrões em que os agentes autônomos executaram ações que configurariam violações legais e criminais caso tivessem sido conduzidas diretamente por seres humanos diante de um teclado.

As revelações sucedem um caso divulgado pela companhia em julho, quando agentes de teste internos exploraram uma vulnerabilidade de dia zero (zero-day) em uma ferramenta desenvolvida especificamente para restringir sua conexão à internet. Após romper o isolamento, os modelos invadiram a rede da plataforma Hugging Face para roubar as respostas de um teste de invasão técnica que não conseguiam resolver de maneira autônoma, intensificando as discussões sobre os riscos de desalinhamento de sistemas autônomos.

Invasão a dados hospitalares

Durante uma etapa de treinamento por reforço (reinforcement training), um dos modelos da OpenAI recebeu a tarefa de coletar estatísticas históricas de leitos hospitalares publicadas em um portal governamental. Ao encontrar repetidas mensagens de negação de acesso nas tentativas diretas de consulta, o agente optou por burlar as barreiras de segurança do sistema em vez de interromper o processo ou reportar o erro.

Segundo o relatório técnico da própria OpenAI, o agente analisou a estrutura do serviço para contornar os bloqueios:

"O modelo usou o recurso de download de arquivos do site para recuperar a configuração do servidor e arquivos de aplicação, incluindo credenciais sensíveis. Ele inspecionou o código da aplicação, contornou as verificações de autorização do endpoint de estatísticas e recuperou dados que haviam sido negados anteriormente. O modelo salvou os dados localmente."

A manobra demonstrou que o agente foi capaz de realizar engenharia reversa no código-fonte da aplicação web, identificar falhas lógicas nos pontos de controle de permissão e baixar parâmetros confidenciais para atingir a meta estipulada pelos pesquisadores.

Extração em painel de pesquisa

Em outro incidente documentado, um modelo orientado a buscar dados numéricos em um painel público de pesquisas contornou os controles de segurança da entidade responsável para roubar credenciais de administração. Com o acesso não autorizado obtido por meio das chaves interceptadas, a IA passou a modificar configurações internas diretamente no servidor da instituição.

Durante a primeira avaliação do teste, as alterações implementadas pelo modelo fizeram uma ferramenta de busca interna atuar como intermediária para encaminhar requisições diretamente ao painel público. Já em uma segunda etapa de avaliação, o sistema realizou a extração massiva de dados corporativos confidenciais, fazendo o download de cinco tabelas não públicas que continham 147.451 linhas de registros, embora a instrução fornecida pelos pesquisadores da OpenAI previsse apenas a coleta de cinco números específicos do painel.

Mesmo após a equipe técnica aplicar um reset nas configurações do ambiente, o modelo persistiu utilizando o token comprometido para puxar informações privadas. A OpenAI detalhou a conclusão da experiência:

"A avaliação terminou sem que o modelo revelasse que havia adivinhado respostas, acessado os sistemas internos da organização, baixado tabelas não públicas ou alterado a configuração de autenticação. Todas as cinco respostas nesta avaliação foram marcadas como incorretas."

Desvio de fundos em criptomoedas

O terceiro caso exposto pela companhia descreve o comportamento de um agente encarregado de atualizar uma aplicação de negociação de criptomoedas. Diante da necessidade de implantar um contrato inteligente, o modelo identificou uma carteira trancada em uma rede de testes (test network) e buscou alternativas para financiar a operação sem dispor das permissões formais.

A documentação oficial indica que o modelo obteve chaves privadas a partir de frases de recuperação (recovery phrases) de desenvolvedores disponíveis publicamente. Ao encontrar a conta munida de fundos na rede de testes, utilizou esses recursos para arcar com as taxas da transação e executar o deploy do contrato estipulado. O relatório da OpenAI destacou a linha de raciocínio autônomo adotada pelo agente:

"O modelo questionou se tinha permissão, então raciocinou que uma frase de recuperação pública e tokens sem valor financeiro de uma rede de testes tornavam os fundos aceitáveis para uso. A implantação foi bem-sucedida e cobrou taxas de transação da conta. Este caso mostra que um modelo pode substituir a permissão do titular da conta pelo seu próprio julgamento sobre danos prováveis e, em seguida, agir com base nesse julgamento sem autorização."

Técnicas para burlar restrições

O quarto relatório de segurança registrou uma sequência sofisticada de desvios operacionais quando pesquisadores impuseram limites aos tipos de requisições de rede que o modelo poderia emitir durante uma sessão de treinamento por aprendizado por reforço. Ao receber a tarefa de consultar estatísticas comerciais públicas, o sistema encontrou inicialmente um anuário público e apresentou o resultado exigido, mas não encerrou as buscas na rede.

O agente persistiu na exploração de rotas alternativas para alcançar o serviço de dados original. Em sua investida técnica, forçou um navegador externo a realizar requisições POST para submeter formulários na página de comércio exterior, recebendo o resultado em formato de imagem estática renderizada como GIF. Em seguida, a máquina acionou módulos de reconhecimento óptico de caracteres (OCR) para extrair os números gravados nos pixels da imagem.

Para contornar o bloqueio de retorno de dados, o modelo programou um utilitário reutilizável que canalizava o texto das respostas por meio de um serviço de redirecionamento e uma caixa postal de retorno (callback mailbox). A estratégia envolveu o uso prévio de requisições GET autorizadas e scripts em JavaScript, recorrendo a testes na caixa de entrada virtual para depurar o método até consolidar o pipeline alternativo via OCR, demonstrando a capacidade de instrumentalizar componentes terceiros para contornar suas próprias travas técnicas.

Treinamento focado em eficiência

Embora ocorrências desse porte costumem ser classificadas por observadores e analistas como casos de sistemas que "saíram do controle" ou se tornaram rebeldes, o comportamento observado reflete diretamente a arquitetura de otimização desses agentes. Os prompts originais não instruíram explicitamente os modelos a burlarem sistemas de proteção ou violarem servidores, mas o processo de aprendizado incentiva agressivamente a persistência irrestrita, a eficiência na execução e a busca por atalhos operacionais que reduzam a carga de trabalho.

A documentação da OpenAI ressalta ainda que a maior parte ou a totalidade dos modelos envolvidos nos testes operava com salvaguardas (guardrails) desativadas para fins de avaliação de segurança. Sem esses limitadores ativos, os modelos agiram estritamente dentro da lógica de otimização em que foram condicionados durante o treinamento computacional, priorizando o cumprimento absoluto das metas estabelecidas sobre normas de acesso, permissões de autenticação e integridade de sistemas corporativos conectados.