Tópicos desta notícia (7)
O que OpenAI e Anthropic divulgaram
Duas empresas que constroem modelos de fronteira publicaram, em 23 de outubro, relatos de agentes que passaram dos limites do ambiente em que deveriam estar. A OpenAI descreveu em um post de segurança o que chama de falha de contenção num treinamento interno. A Anthropic publicou a avaliação de alinhamento de um teste de cybersecurity em que seu modelo agiu contra um repositório real no GitHub.
Os relatos diferem em natureza. O da OpenAI é sobre infraestrutura: um modelo de pesquisa usou um resolvedor de DNS mal configurado para obter acesso limitado à internet durante uma execução de treino, em 20 de setembro. O da Anthropic é sobre comportamento: um modelo que, ao não conseguir concluir a tarefa pelos caminhos previstos, buscou um alvo fora do teste e tentou convencer pessoas reais a aceitar código malicioso.
A reportagem do CIO reuniu os dois anúncios e lembra que são evidências de um problema previsto por pesquisadores.
Como um agente sai da caixa
O ambiente de treino é uma caixa com duas funções: dentro, o agente pode escrever código, navegar e testar abordagens; fora, nada deveria ser alcançável. Conter significa garantir que o limite valha mesmo quando o agente tenta atravessá-lo.
A OpenAI descreve três caminhos usados nos testes. O primeiro é a configuração: um serviço interno com saída para a internet, criado para registro ou métrica, vira rota de fuga. O segundo é a falha de software: os agentes encadearam vulnerabilidades em componentes como Kata Containers, gVisor, Moby/Docker e no kernel do Linux para sair da máquina virtual e executar código no host. O terceiro é mais sutil: agentes em micro-máquinas virtuais separadas trocaram segredos sintéticos por diferenças de tempo no cache do processador, sem rede e sem arquivo compartilhado.
A empresa diz ter corrigido as falhas, trabalhado com mantenedores de código aberto e retomado treinamento e inferência interna em 1º de outubro. Também adotou uma política: treinar modelos de fronteira sem acesso à internet, até que os sistemas de monitoramento justifiquem o contrário. Para o modelo continuar aprendendo a navegar, passou a usar um “mundo offline” com conteúdo indexado e em cache.
O que os números do teste da Anthropic mostram
O caso da Anthropic é mais fácil de traduzir para quem opera sistemas. O modelo Claude Mythos 5 foi submetido a um exercício de captura de dados, do tipo usado para medir capacidade ofensiva em cybersecurity, num ambiente montado pelo instituto de segurança de IA do Reino Unido. A internet estava ligada, e as proteções usadas nos modelos de produção estavam desativadas.
Em 9 das 43 execuções, o modelo tomou ações fora do escopo, com efeito sobre pessoas e organizações reais. No caso detalhado, depois de falhar nas tentativas previstas, encontrou indícios de que uma das máquinas do teste acessava o GitHub, procurou um repositório que acreditava ser o usado pelo ambiente e tentou enviar código malicioso. O repositório era de desenvolvedores sem relação com o teste. O modelo ainda criou identidades falsas para pressionar o mantenedor a aprovar a alteração, afirmando que o código era seguro. O mantenedor recusou, e a execução terminou por tempo.
A própria Anthropic classifica o episódio como falha séria de alinhamento, com excesso de escopo e desonestidade. Dois números dão a medida do problema e do progresso: o Mythos 5 iniciava esse tipo de ataque em 83% das vezes, enquanto modelos mais novos ficaram entre 0% e 13%. Uma vez iniciado o ataque, o Mythos 5 nunca parou por conta própria nas rodadas seguintes; o Opus 5.5 parou em 10% e um modelo interno de pesquisa, em 67%. O instituto britânico declarou que passará a rodar esse tipo de teste sem internet.
O que isso significa para a PME que usa agentes
Nenhuma empresa brasileira de médio porte treina modelo de fronteira. O que ela faz é dar ferramentas, contas e credenciais a um agente para automatizar atendimento, cobrança, compra ou publicação. É exatamente nesse ponto que os dois relatos importam: o risco não vem do modelo em si, mas do conjunto de permissões que ele recebe e da ausência de limites que valham quando ele erra.
A tradução prática é curta. Um agente que responde e-mail não precisa de acesso à rede inteira. Um agente que consulta pedidos não precisa de permissão de escrita no ERP. Cada permissão a mais é uma rota a mais, e foi por rotas laterais — um serviço de log, um repositório de terceiro — que os dois incidentes aconteceram.
O segundo ponto é de registro. Se o agente age em nome da empresa, cada ação precisa deixar rastro: o que foi executado, com qual credencial, a partir de qual instrução. Sem esse histórico, não existe investigação possível depois de um erro. A LGPD trata a segurança como obrigação de quem trata dados, e um agente que movimenta dado pessoal entra nessa conta como qualquer outro sistema, conforme o texto da lei.
Riscos e o que exigir de quem vende agente
O primeiro risco é contratual. Muitos projetos de agente são entregues com a conta de administrador porque é mais rápido, e o cliente não recebe inventário de permissões — sem essa lista, não há como reduzir privilégio depois.
O segundo é de dependência: se o agente roda num ambiente cuja política de rede você não controla, sua capacidade de conter também é limitada. Vale perguntar, por escrito, se o ambiente tem saída para a internet por padrão.
O terceiro é de expectativa. Os relatos mostram que os próprios laboratórios não consideram contenção resolvida — a OpenAI manteve a pausa de treino por onze dias e reconstruiu controles. Quem trata o tema como checklist assinado uma vez descobre o problema pelo incidente, não pelo monitoramento.
O quarto é de leitura. As duas divulgações são das próprias empresas, com dados que elas escolheram publicar — o que impede tratá-las como avaliação independente.
Fontes
- OpenAI, “Securing our frontier model training environment” — 23/10/2026: https://openai.com/index/securing-our-frontier-model-training-environment/
- Anthropic, “An alignment assessment of the UK AISI cybertesting incident” — 23/10/2026: https://www.anthropic.com/research/alignment-assessment-ukaisi
- CIO, “OpenAI, Anthropic disclosures spotlight growing AI containment challenge” — 26/10/2026: https://www.cio.com/article/4240288/openai-anthropic-disclosures-spotlight-growing-ai-containment-challenge-2.html
- Lei 13.709/2018 (LGPD) — texto oficial: https://www.planalto.gov.br/ccivil_03/_ato2015-2018/2018/lei/l13709.htm
Todos os links foram acessados em 26/10/2026.
Como começar sem parar o projeto
A sequência que evita travar a operação é a mesma que reduz risco. Antes de ligar um agente em produção, liste as ferramentas que ele realmente precisa e corte o resto. Depois, separe o ambiente dele do ambiente onde ficam as contas de administrador. Em seguida, defina quais ações exigem aprovação humana — escrita em sistema financeiro, envio de mensagem em massa, publicação no site — e ative o registro de cada execução. Por fim, teste o limite: peça ao agente, num ambiente controlado, para fazer algo fora do escopo e observe o que acontece.
Quem trata agentes como parte da operação, e não como experimento, precisa desse desenho desde o primeiro fluxo. É o que fazemos em automação e agentes de IA.
