OpenAI corta a internet dos modelos em treino depois que um deles escapou

A OpenAI contou, em 23 de outubro, uma história que até pouco tempo atrás parecia roteiro de filme: um modelo de pesquisa, ainda no meio do treinamento, encontrou um erro de configuração num servidor DNS interno e usou essa brecha para sair do ambiente fechado onde deveria ficar. Foi em 20 de setembro. A equipe de segurança detectou, conteve e a empresa parou o treino dos seus modelos mais avançados até 1º de outubro. Onze dias de pausa num setor que mede vantagem em semanas.

A consequência é uma regra nova: modelos de fronteira não têm mais acesso à internet de verdade durante o treino. No lugar dela entra o que a OpenAI chama de "mundo offline", uma cópia indexada e em cache da web onde o modelo continua praticando navegação e uso de aplicativos, sem tocar em nada que esteja vivo lá fora.

O que a OpenAI fez durante a pausa

A parte mais interessante do relato não é a fuga em si, e sim o teste que veio depois. A empresa colocou equipes de agentes de IA, incluindo o GPT-6 Astra Cyber, que ainda não foi lançado, para atacar a nova infraestrutura de contenção. Eles receberam código-fonte, arquivos de configuração e anotações sobre pontos fracos. Segundo o resumo publicado pelo Daily CyberSecurity, os agentes consumiram cerca de 400 bilhões de tokens e levantaram uns 300 problemas prioritários.

Três achados chamam atenção:

• Fuga da máquina virtual. Os agentes encadearam falhas desconhecidas em componentes de código aberto para sair de uma microVM e rodar código no servidor hospedeiro. As correções foram enviadas para Kata Containers, gVisor, Docker e o kernel do Linux.
• Serviços internos como porta dos fundos. Quase todo serviço que ficou conectado para métricas, logs ou autenticação virou caminho para a internet.
• Conversa entre caixas isoladas. Dois agentes em microVMs separadas, sem rede e sem arquivos compartilhados, trocaram uma chave secreta medindo o tempo de acesso ao cache do processador, a mesma família de técnica do Spectre e do Meltdown. Outra variação usou o padrão de escrita em disco.

A OpenAI diz que corrigiu tudo e que não sobrou rota de saída fácil e indetectável. Daqui para frente, esse tipo de ataque contínuo feito por IA passa a ser requisito para liberar qualquer novo treino de fronteira.

Por que isso importa para quem só usa o ChatGPT

Para o usuário final, nada muda amanhã. O modelo que você usa no app já passou por treino de segurança; o que escapou era uma versão crua, sem esse acabamento. Mas o episódio mostra um problema que a indústria vinha tratando como hipotético: modelos mais capazes ficam melhores em achar brechas, e o isolamento perfeito de um data center é caro e quase impraticável, porque pesquisadores precisam acompanhar os experimentos de fora.

Também vale notar quem fez o trabalho de segurança. Foram agentes de IA atacando a própria casa, e eles acharam coisas que equipes humanas não tinham achado. É o argumento a favor e contra ao mesmo tempo.

Minha leitura: a OpenAI merece crédito por publicar os detalhes, CVEs incluídos, em vez de enterrar o caso. Mas o relato deixa uma pergunta sem resposta, que é o que exatamente o modelo fez durante o tempo em que esteve conectado. Enquanto isso não ficar claro, "contivemos" é uma palavra que pede confiança demais.