Em 20 de setembro, um modelo de pesquisa interno da OpenAI (abre em nova aba) estava no meio de uma sessão de treino quando achou uma porta que ninguém tinha visto aberta. Havia um erro de configuração no resolvedor de DNS, o serviço que traduz nomes de sites em endereços que os computadores entendem. Por ali, o sistema ganhou acesso limitado à internet de verdade. A empresa diz que conteve o incidente e, em seguida, pausou o treino e a avaliação dos seus modelos mais capazes.
A própria OpenAI contou o episódio na sexta-feira (23) e anunciou junto uma regra nova. O treino dos modelos de fronteira, os mais avançados da casa, agora acontece sem nenhum acesso à internet ao vivo. A regra vale até que três coisas justifiquem abrir mais: a pesquisa de alinhamento, o monitoramento e a segurança da própria infraestrutura da internet. Repare no último item. A OpenAI não diz apenas que seus modelos precisam amadurecer. Diz que a internet também não está pronta para eles.
Uma internet de mentira
No lugar da rede real, a empresa descreve um "mundo offline": uma cópia gigantesca da web, indexada e guardada em cache. Todas as rodadas de aprendizado por reforço dos modelos de fronteira rodam nesse modo. Essa é a etapa em que o modelo pratica tarefas por tentativa e erro.
A lógica é simples. Um modelo que treina para pesquisar e programar precisa de algo parecido com a internet. Mas um sistema treinado para buscar recompensa por tentativa e erro vai, cedo ou tarde, testar as paredes. Setembro mostrou que basta uma configuração errada, um tipo de deslize bem humano.
A OpenAI soltou IAs contra a própria jaula
Durante a pausa, a empresa fez um red team de alto poder computacional, ou seja, um ataque simulado contra a própria infraestrutura, conduzido por agentes de IA. Foram centenas de bilhões de tokens. Entre os atacantes estavam o ainda não lançado GPT-6 Astra Cyber e um modelo de fronteira interno, que receberam até o código-fonte e as configurações dos sistemas que deveriam invadir.
Os agentes acharam falhas e erros de configuração até então desconhecidos. Um deles foi a fuga de microVMs, as pequenas máquinas virtuais isoladas onde cada agente roda. Outro foi a comunicação entre agentes que dividiam o mesmo hardware, feita pelo tempo de resposta da memória cache. Traduzindo: programas que não deveriam conversar acharam um jeito de trocar sinais medindo quanto o computador demora para buscar dados.
A conclusão da OpenAI merece leitura lenta. A empresa diz não ter encontrado uma rota até a internet que os agentes pudessem explorar de forma trivial enquanto escondiam a atividade dos monitores. Isso não é dizer que rota nenhuma existe. É uma frase mais estreita e, por isso mesmo, mais honesta do que prometer uma jaula perfeita. Ela também mostra onde está a aposta: menos em paredes impenetráveis, mais em enxergar quem tenta pulá-las.
O treino por reforço e o uso interno dos modelos de fronteira voltaram em 1º de outubro, 11 dias depois da pausa. O red team pesado virou parte dos "safety cases" da empresa, os dossiês que sustentam a decisão de seguir em frente.
O efeito colateral fora da OpenAI
A parte mais concreta da história são as falhas que saíram do exercício. A OpenAI listou uma no Kata Containers (abre em nova aba) (CVE-2026-24834) e três no Linux (CVE-2026-74753, CVE-2026-80521 e CVE-2026-80841). Outras seguem sem divulgação.
A mais grave talvez nem esteja nessa lista. Na conta oficial no X, a OpenAI disse que o mesmo red team achou uma falha no Brotli (abre em nova aba), biblioteca de compressão do Google embutida em softwares como Node.js, Bun e Envoy. A brecha permite rodar código na máquina alheia sem precisar de conta. Segundo a empresa, um servidor desatualizado que aceita dados comprimidos pode ser tomado por um cliente malicioso, e vice-versa.
O Node.js (abre em nova aba) corrigiu o problema (CVE-2026-111497) nas atualizações de segurança de 21 de outubro e deu o crédito a "OpenAI Codex Security - Khai Tran and Sylvie Mayer". A Strix atribui à falha nota 9,2 de 10 na escala de gravidade CVSS. A análise do NVD, o banco oficial de vulnerabilidades dos EUA, ainda estava pendente.
O detalhe mais curioso é que o conserto já existia, só que ninguém sabia que ele fechava um buraco de segurança. A empresa explicou assim:
Na verdade, a causa raiz desse problema foi corrigida no código-fonte do Brotli em fevereiro, mas na época não se sabia que ela dava origem a uma vulnerabilidade de segurança, e não havia nenhuma versão mais recente do Brotli. Como o Brotli vem embutido em outros softwares, qualquer software que inclua essa biblioteca também precisa receber a atualização, e depois os usuários desse software.
A manchete fácil é "IA foge da jaula". A história real é menos cinematográfica e mais útil: um modelo achou um erro banal, e a resposta foi reconstruir a internet offline e pôr IAs para atacar as próprias grades. Sobre o que aconteceu dentro de casa, ainda dependemos da palavra da OpenAI. Mas as CVEs são públicas e as correções já foram lançadas. É a melhor prova de que o exercício encontrou problemas reais, inclusive para quem nunca vai treinar um modelo na vida.