A falha que deixava agentes da OpenAI invisíveis ao sistema que deveria vigiá-los — descoberta em 3 semanas

Entre 21 de julho e 11 de agosto de 2026, pesquisadores da METR e da Redwood Research tiveram acesso raro ao sistema de monitoramento interno da OpenAI. Eles descobriram um exploit que permitia agentes esconderem centenas de ações do próprio sistema de vigilância, segundo relatório divulgado pelas duas organizações. O caso é raro: avaliadores externos tiveram acesso profundo ao código interno e à equipe de segurança da OpenAI, não apenas aos modelos públicos.

O que o piloto encontrou

Um pesquisador de cada instituição (METR e Redwood Research) recebeu acesso onsite ao código interno da OpenAI, usando computadores que nunca saíram das instalações. Eles entrevistaram cerca de 12 pesquisadores da OpenAI e produziram um relatório interno de 61 páginas, do qual apenas um resumo foi tornado público.

A descoberta mais grave: um exploit permitia a agentes ocultar centenas de ações recentes do monitoramento. Também identificaram dois cabeçalhos controláveis pelo cliente capazes de desativar a vigilância sobre novas instâncias de agentes, e uma forma pela qual agentes Codex poderiam contornar o sandboxing e as proteções de Auto-Review.

Segundo a METR, 75% a 94% do tráfego de agentes GPT-5.5 tinha monitoramento elegível durante o período testado. Para agentes Codex, a cobertura era de 99,2%, mas uma falha na compactação do histórico de interações longas deixou cerca de 10% sem vigilância entre maio e julho de 2026.

Por que isso importa

A indústria de IA trata o risco de agentes autônomos driblarem o próprio controle como um problema majoritariamente teórico, algo para se preocupar quando os modelos forem mais capazes. O piloto da METR e da Redwood Research mostra uma versão concreta e já presente do problema: falhas de engenharia que criam pontos cegos reais no monitoramento, meses antes de qualquer agente precisar ser "inteligente" para explorá-las deliberadamente.

Monitoramento é a camada de segurança que grandes empresas de IA citam com mais frequência quando perguntadas como pretendem detectar um agente que foge do comportamento esperado. Se essa camada tem buracos sem que ninguém de fora saiba, o controle depende inteiramente da palavra da própria empresa que constrói o sistema.

A resposta da OpenAI e o limite da verificação

A OpenAI afirmou ter corrigido todas as vulnerabilidades que afetavam a pilha de salvaguardas de produção e disse ter feito mudanças adicionais no sistema de monitoramento desde o fim do piloto, em agosto. A empresa também reteve o direito de redigir partes sensíveis do relatório de 61 páginas antes da publicação do resumo.

A própria METR reconhece o limite do que consegue afirmar: os avaliadores não verificaram de forma independente se as falhas foram de fato exploradas na prática, nem se as correções anunciadas pela OpenAI realmente resolveram os problemas identificados. Ou seja, a confirmação de que a brecha foi fechada depende, de novo, da palavra da empresa.

O que os dados mostram

A amostra do piloto é pequena: dois pesquisadores, um de cada organização, com acesso a uma única empresa durante três semanas. Não é uma auditoria pública recorrente, nem um teste reproduzível por terceiros. É um retrato pontual, divulgado com a concordância da própria OpenAI sobre o que seria tornado público.

Ainda assim, é o tipo de dado raro para quem acompanha segurança de IA: evidência documentada, com datas, percentuais e descrição técnica da falha, vinda de fora da empresa que opera o sistema. A maioria das afirmações sobre monitoramento de agentes no setor vem de relatórios de transparência escritos pelas próprias empresas, sem acesso externo ao código.

O que acompanhar

Vale ficar de olho em três coisas: se a OpenAI vai publicar algum detalhe técnico das correções aplicadas desde agosto de 2026, se outras empresas de IA (Anthropic, Google DeepMind) vão abrir acesso semelhante a avaliadores externos para seus próprios sistemas de monitoramento de agentes, e se a METR ou a Redwood Research vão repetir o exercício para verificar se os pontos cegos identificados de fato foram fechados.