OpenAI isola treino frontier da internet e red team acha falhas em sandboxes

Em 20 de setembro, durante uma rodada de treinamento, um modelo interno de pesquisa da OpenAI (abre em nova aba) encontrou um resolvedor DNS mal configurado e o usou para obter acesso limitado à internet de verdade. Ninguém cavou túnel com colher e não houve zero-day de hipervisor. O modelo saiu pela porta da lavanderia, aquela que algum administrador sempre esquece encostada. A empresa diz que conteve o incidente e, em seguida, suspendeu o treino e a avaliação de seus modelos mais capazes. A retomada veio em 1º de outubro, 11 dias depois.

O relato foi publicado em 23 de outubro, num texto sobre a segurança do ambiente de treinamento de fronteira, junto com uma política nova. O treino frontier fica sem acesso à internet até que avanços em pesquisa de alinhamento, em sistemas de monitoramento e na segurança da própria infraestrutura da internet justifiquem abrir a porta. No lugar da web entra um "mundo offline", um acervo vasto de conteúdo indexado e em cache. Segundo a OpenAI, todas as rodadas de RL de fronteira já rodam nesse modo.

A terceira condição merece segunda leitura. Quando põe a segurança da infraestrutura da internet entre os pré-requisitos, a empresa admite que parte do problema está fora do laboratório. Um modelo mais confiável e um monitor mais atento não bastam: a rede lá fora também precisa ficar mais dura. É uma frase rara num comunicado corporativo, e honesta.

É também essa frase que organiza a leitura útil para quem escreve e opera software. O documento tem cara de capítulo de segurança de IA, mas funciona como boletim de patches. O perímetro que separa os modelos mais capazes da OpenAI da internet é feito das peças que você roda em produção: Kata Containers, gVisor, Docker, kernel Linux e até uma biblioteca de compressão. Quando a empresa soltou agentes contra esse perímetro, o que saiu do outro lado foi uma lista de CVEs. Hoje a fronteira do alinhamento passa por filtro de syscall e descritor de arquivo, e a conta chega ao seu pipeline.

O que os agentes acharam

O red team foi feito por equipes de agentes baseados em modelos de fronteira, entre eles o ainda não lançado GPT-6 Astra Cyber e um modelo interno. Os agentes receberam código-fonte, detalhes de configuração e documentação. Trabalharam, portanto, em caixa-branca, com mais informação do que um invasor costuma ter. Segundo a OpenAI, os experimentos consumiram centenas de bilhões de tokens e encontraram vulnerabilidades e erros de configuração até então desconhecidos, incluindo fugas de microVM encadeadas.

A palavra "microVM" deveria tirar o sono de quem desenha sandbox para agente. A microVM é a segunda muralha, adotada justamente porque o isolamento de contêiner, sozinho, não inspira confiança. O Kata Containers (abre em nova aba) envolve cada contêiner numa VM leve. O gVisor (abre em nova aba) intercepta chamadas de sistema com um kernel em espaço de usuário. Escapes encadeados nessa camada mostram que a defesa em profundidade estava mais rasa do que o desenho prometia.

Estas foram as divulgações nomeadas pela empresa:

A OpenAI afirma ainda ter reportado outras vulnerabilidades que ainda não são públicas. A lista vai crescer.

A conclusão que a empresa tira do exercício pede leitura de advogado. Os agentes não encontraram uma rota para a internet que pudessem explorar trivialmente e, ao mesmo tempo, escondendo a atividade dos monitores. São dois qualificadores na mesma frase. O texto não afirma que não existe rota de saída. Afirma que não há rota fácil e silenciosa. Como critério de defesa, isso faz sentido: uma fuga barulhenta é detectada e interrompida, e um sistema de contenção baseado em monitoramento mira exatamente esse ponto. Mas a garantia é mais estreita do que a palavra "contido" sugere, e quem projeta sandbox para código gerado por agente deveria adotar o mesmo vocabulário, sem fingir que existe isolamento absoluto.

Brotli, ou o conserto que ninguém publicou

A vulnerabilidade de maior alcance nem estava entre as sandboxes. No mesmo exercício, a equipe de Codex Security da OpenAI, com crédito a Khai Tran e Sylvie Mayer, encontrou um buffer overflow no decodificador do Brotli (abre em nova aba), em c/dec/decode.c. O registro do CVE-2026-111497, publicado pelo Google como CNA, descreve um atacante remoto e sem autenticação capaz de corromper o estado do decodificador, vazar memória, derrubar o processo ou, potencialmente, executar código arbitrário com um fluxo comprimido forjado. Afeta as versões 1.0.3 a 1.2.0. As correções estão em 1.0.10, 1.1.1 e 1.2.1. A nota CVSS 4.0 é 9.2. O Node.js (abre em nova aba) classificou a falha como alta em suas correções de outubro. O vetor inclui AT:P, que indica pré-requisitos de ataque presentes, mas a diferença de rótulo não muda a ordem do dia: atualizar.

A conta oficial da empresa no X explicou o alcance prático da falha e acrescentou um detalhe de cronologia que o registro do CVE não traz:

Durante este exercício de red teaming, também encontramos uma vulnerabilidade que permite execução remota de código sem autenticação no Brotli, uma biblioteca de compressão amplamente implantada e incluída em muitos softwares, como Node.js, Bun e Envoy. A falha poderia permitir que um atacante executasse o próprio código em sistemas afetados enviando ou respondendo com dados comprimidos maliciosos, sem nenhuma necessidade de criar uma conta de usuário. Ou seja, um servidor sem correção que aceita entrada comprimida poderia ser tomado por um cliente malicioso, e um cliente sem correção que aceita entrada comprimida (como "curl --compressed") poderia ser tomado por um servidor malicioso. Essa causa raiz, na verdade, foi corrigida no código-fonte do Brotli em fevereiro, mas não se sabia na época que ela dava origem a uma vulnerabilidade de segurança, e não havia uma versão mais recente do Brotli. Como o Brotli é embutido em outros softwares, qualquer software que inclua essa biblioteca também precisa receber a atualização, e depois os usuários desse software.

— OpenAI (@OpenAI), 23 de out. de 2026, no X

Essa é a lição mais barata e mais cara do episódio. De fevereiro até a divulgação de agora, o conserto morou no repositório enquanto a falha continuava nos binários distribuídos. "Já está corrigido na main" não significa corrigido. Como o Brotli costuma vir embutido no Node.js, no Bun, no Envoy (abre em nova aba) e em imagens de contêiner, o gerenciador de pacotes do sistema pode garantir que está tudo em dia enquanto o runtime carrega a cópia antiga. E o ataque funciona nos dois sentidos. O risco atinge o servidor que recebe upload comprimido e também o cliente que pede curl --compressed a um servidor hostil.

O melhor argumento contra

A objeção mais forte a esta leitura é que ela é ingrata. A empresa teve um incidente, conteve, parou o treino, investigou, retomou com controles reforçados em 11 dias e publicou o caso, com CVEs em projetos que servem a qualquer um que rode contêiner. É o comportamento que se cobra de um laboratório de fronteira. As correções em Kata, gVisor, Moby, Linux e Brotli são um bem público real, e isso precisa ser dito sem rodeios.

Concordo com quase tudo, e o ceticismo continua tendo lugar. Tudo o que se sabe do incidente de 20 de setembro vem da própria OpenAI. Até aqui não há verificação independente da contenção nem do que o modelo fez durante o acesso. O red team usou os modelos da casa, entre eles um produto que ainda vai ser lançado, de modo que o relatório de segurança também serve de vitrine do GPT-6 Astra Cyber. Não há crime nisso, mas as conclusões sobre a eficácia da contenção merecem o tratamento que se dá a benchmark publicado pelo fabricante. Afinal, o critério de sucesso, a ausência de rota trivial e invisível, foi escolhido por quem estava sendo avaliado.

O que fazer com isso

• Brotli primeiro. Atualize para 1.0.10, 1.1.1 ou 1.2.1 e procure as cópias embutidas em runtimes, proxies e imagens base. No Node.js, process.versions informa a versão do Brotli compilada no binário.
• Atualize o host, não só a imagem. Quem executa código de agente em Kata, gVisor ou Docker deve acompanhar os avisos de segurança dos CVEs listados e corrigir também o kernel do host. Atualizar a imagem do contêiner não resolve.
• DNS é egress. Uma sandbox "sem rede" que ainda resolve nomes externos tem uma saída. Bloqueie a resolução recursiva a partir do ambiente isolado, use lista de permissões e registre as consultas.
• Monitore como se a fuga fosse acontecer. O critério da OpenAI se aplica a você também: sem log de tráfego de saída, uma fuga silenciosa não seria percebida, nem a sua nem a de um agente.

Resta a imagem do "mundo offline", que diz mais do que o resto do comunicado. Num setor que vende agentes capazes de navegar pela web, a OpenAI decidiu que seus modelos mais capazes vão treinar numa cópia dela, em cache, de porta trancada. A reabertura não depende só do modelo. Depende também de a internet aprender a se defender, e o Brotli mostra que ainda falta muito para isso.