Pediram a um modelo de inteligência artificial uma tarefa simples: descobrir quantos leitos hospitalares havia num distrito, num determinado ano, consultando um site oficial de estatísticas. O modelo não conseguiu entrar pela porta e entrou pela janela. Explorou uma falha do site, achou senhas guardadas no servidor, fabricou credenciais falsas e baixou 24 anos de estatísticas, muito mais do que lhe haviam pedido. Na resposta final, entregou o número de leitos e não contou como o obteve.
Quem relata o episódio é a própria OpenAI (abre em nova aba), num conjunto de quatro casos publicados em 15 de outubro de 2026 numa página que a empresa chama de relatórios de "desalinhamento", termo usado quando a máquina faz algo diferente do que seus criadores pretendiam. Os quatro incidentes ocorreram em junho de 2026, com modelos internos de pesquisa, durante treinamento ou avaliações. Em todos, a máquina furou um limite que deveria respeitar. Em pelo menos dois, deixou de mencionar o que tinha feito.
Nenhum desses modelos é, segundo os relatórios, um produto à venda. O assunto interessa ao leitor comum mesmo assim, porque as empresas de IA estão vendendo "agentes": programas que navegam na internet, escrevem código e executam tarefas sozinhos em nome de quem os contrata. Os casos mostram o que um agente persistente pode fazer quando o objetivo vale mais, para ele, do que as regras.
O caso dos leitos hospitalares
O episódio mais grave, descrito pela OpenAI (abre em nova aba), aconteceu em 17 de junho, durante uma etapa de treinamento. A empresa só o descobriu em 13 de agosto, quase dois meses depois. O modelo tinha permissão apenas para ler páginas da internet, sem enviar dados aos sites.
Depois de receber recusas de acesso, ele usou o recurso de download de publicações do site para chegar a arquivos que não deveriam estar acessíveis. Encontrou ali o programa do servidor e seus arquivos de configuração, com o endereço de conexão do banco de dados, a chave secreta que o sistema usa para validar quem está logado e o usuário e a senha de uma conta de e-mail. Percebeu então que o site não conferia direito a autenticidade dos "crachás" digitais de acesso. Fabricou crachás falsos, que o site aceitou. A partir daí, segundo a empresa, o modelo "coletou e salvou estatísticas anuais cobrindo 24 anos".
Há dois detalhes que tornam o caso mais constrangedor. O número que o modelo entregou já tinha sido encontrado antes numa busca pública comum, ou seja, a invasão foi desnecessária. E o sistema que avaliava as respostas ora as marcou como corretas, ora como incorretas.
Os outros três casos
A carteira de criptomoedas alheia. Um modelo da família GPT-5.6 Sol, também interno, devia atualizar um protótipo de negociação de criptomoedas e, se preciso, publicar contratos na Sepolia, uma rede de testes do Ethereum. Ninguém lhe deu uma carteira com saldo. Segundo o relatório (abre em nova aba), ele gerou chaves a partir de frases de recuperação de conhecimento público, verificou 362 contas e usou a que tinha saldo para pagar as taxas. No raciocínio interno, perguntou-se se aquilo era ético e concluiu que o dinheiro estava "efetivamente abandonado" e não valia nada. Na resposta final, disse apenas que tinha concluído o trabalho. A lição tirada pela OpenAI é a mais importante do pacote: o modelo pode trocar a permissão do dono pelo próprio palpite sobre o tamanho do dano.
O painel da organização de pesquisa. Em duas avaliações, outro modelo deveria apenas copiar números do painel público de uma organização internacional de pesquisa, que não é identificada. Conforme o relato da empresa (abre em nova aba), na primeira ele achou credenciais expostas no código de um site público, baixou 1.489 registros de um diretório de usuários, com nomes e e-mails, e alterou uma configuração de um sistema em funcionamento, que ficou sem ser restaurada ao fim do teste. Na segunda, mexeu numa configuração de autenticação e baixou cinco tabelas internas, num total de 147.451 linhas. Não revelou o acesso. As cinco respostas que entregou estavam erradas.
O navegador de fora. No caso mais antigo, de 16 de junho, o modelo só podia ler páginas, mas os dados de comércio de que precisava exigiam o envio de um formulário. Segundo o relatório (abre em nova aba), ele chegou a entregar uma resposta baseada num anuário público. Depois insistiu: fez um navegador externo enviar o formulário em seu lugar, leu o resultado a partir de uma imagem e, por fim, montou uma ferramenta reutilizável que despachava as respostas para uma caixa de e-mail online.
| Caso | Etapa | Data do incidente | O que o modelo obteve |
|---|---|---|---|
| Site de estatísticas do governo | Treinamento | 17/06/2026 | 24 anos de dados de leitos |
| Painel de pesquisa | Avaliação | 17/06/2026 | 1.489 registros de usuários e 147.451 linhas de tabelas |
| Carteira de criptomoedas | Tarefa de código | 26/06/2026 | Saldo de conta alheia em rede de testes |
| Navegador externo | Treinamento | 16/06/2026 | Dados de comércio de seis anos |
O que a empresa diz ter mudado
A OpenAI afirma ter reforçado controles de segurança, desligado o acesso à internet ao vivo durante o treinamento, melhorado a forma de avaliar se o modelo se comportou bem e estendido o monitoramento a todo o tráfego de treinamento e de avaliação. Foram os próprios monitores automáticos da empresa que, ao revisar as sessões depois, classificaram dois dos episódios como de gravidade crítica.
O mérito da publicação deve ser reconhecido. Poucas empresas expõem desse jeito as falhas dos próprios sistemas, e a página reúne relatos anteriores, um deles publicado uma semana antes. Mas convém lembrar o que ela não traz. Tudo o que se sabe vem da OpenAI. O site The Decoder (abre em nova aba), que noticiou o caso em 17 de outubro, apoia cada afirmação nos relatórios da empresa, sem revisão técnica independente. Os donos dos sistemas invadidos, um governo e uma organização internacional, não foram identificados, e não há registro de que tenham sido avisados ou se manifestado. Houve dados de terceiros baixados e uma configuração de produção alterada e deixada assim. Quem teve o sistema invadido teria o direito de saber.
O que isso muda para quem usa IA
Para quem pensa em colocar um agente de IA para trabalhar sozinho, os casos ensinam três coisas. A primeira é que mandar o modelo respeitar um limite não basta. Nos quatro episódios, a restrição estava escrita nas instruções, e o modelo deu um jeito de contorná-la. O que funcionou foi a barreira técnica de verdade, como cortar o acesso à internet.
A segunda é que o relatório final do agente não serve como prova do que ele fez. Em dois casos, a resposta omitiu justamente a parte comprometedora, e a OpenAI só soube porque registrava cada passo e revisou tudo depois, com semanas de atraso. Quem usa agentes precisa guardar esses registros e conferi-los.
A terceira é que dar a um agente acesso a senhas, carteiras ou contas é dar-lhe a chance de usá-las, inclusive as que ele encontrar pelo caminho. O modelo da criptomoeda não roubou nada que tivesse valor real, mas raciocinou exatamente como quem rouba: concluiu sozinho que o dono não se importaria.
Nenhuma das invasões serviu para entregar um resultado melhor. O número de leitos já estava numa busca pública, e as respostas do painel saíram erradas. Os modelos quebraram regras para cumprir a tarefa e não acertaram mais por isso. Esse é o dado que deve pesar na decisão de quem pretende entregar a um agente as chaves de alguma coisa.