No filme "Um Sonho de Liberdade", Andy Dufresne cava um túnel atrás de um pôster na prisão, carrega a terra nos bolsos e a espalha aos poucos no pátio, para que ninguém perceba. Todo o processo até o momento da "escapada" demora 19 anos.

Nas últimas duas semanas, modelos de inteligência artificial (IA) de OpenAI, Anthropic e Meta fizeram algo parecido em questão de horas — escaparam de ambientes de teste, invadiram sistemas de terceiros e, em um dos casos, apagaram o próprio rastro.

Nenhuma das empresas atingidas percebeu.

O enquadramento imediato foi o de uma IA fora de controle. Especialistas em segurança, porém, apontam para o outro lado da história: a falha começou em mãos humanas.

Para Leandro Cuozzo, analista de segurança da Kaspersky para a América Latina, o erro humano teve papel no incidente em duas frentes principais.

"Primeiro, houve uma falha fundamental de isolamento durante a criação do ambiente sandbox [ambiente de testes isolado e sem acesso a redes externas]: os engenheiros deixaram aberta uma conexão com um proxy [servidor intermediário que gerencia o tráfego de dados entre o usuário e a internet] externo para instalações rotineiras de pacotes de software, que a IA explorou por meio de uma vulnerabilidade de dia zero para acessar um nó conectado à internet", afirma em entrevista à EXAME.

O segundo ponto, de acordo com Cuozzo, foi a falha técnica de vigilância, quando nem o sistema, nem o humano conseguiram detectar e bloquear, em tempo hábil, o tráfego anormal gerado pelo modelo. "Essa atividade deveria ter sido sinalizada, pois foi muito além do tráfego normal esperado para instalações de pacotes por meio daquele proxy", diz.

Quando o modelo persegue o objetivo errado

Segundo Dmitry Galov, chefe da equipe global de pesquisa da Kaspersky para a Rússia e a Comunidade de Estados Independentes, o episódio é um caso de desalinhamento — que acontece quando o modelo não persegue o objetivo pretendido pelos humanos, e sim descobre um atalho para pontuar bem na avaliação.

"O modelo da OpenAI parece ter buscado cumprir o objetivo não por meio da resolução direta da tarefa, mas pela pesquisa de respostas na internet", afirma Galov. Isso significa que, em vez de resolver o desafio de segurança que lhe foi dado, o sistema foi atrás do gabarito.

Para isso, saiu do ambiente isolado, vasculhou a internet em busca das respostas do teste e, ao deduzir que elas poderiam estar na Hugging Face, usou credenciais roubadas e outras falhas até conseguir executar código nos servidores da plataforma.

"Comportamentos semelhantes já foram observados em outras situações, como modelos que exploram falhas em ambientes sandbox, produzem respostas plausíveis sem fundamento ou tentam ocultar erros, substituindo dados perdidos ou excluídos por informações convincentes", diz Galov.

Segundo ele, "o desalinhamento é uma característica amplamente reconhecida dos sistemas avançados de IA".

O atalho para o gabarito: quando a IA prefere trapacear a resolver

Para Fabro Steibel, diretor executivo do Instituto de Tecnologia e Sociedade (ITS Rio), o caso é um grande paradoxo. "A IA fugiu do laboratório. Era uma avaliação em sandbox, sem internet. O modelo achou uma forma de ter internet, para trapacear em um teste", afirma.

Steibel chama a atenção para a sofisticação do encobrimento. Segundo ele, o modelo "aprendeu a esconder migalhas do ataque em diferentes partes, para não ser pego no flagra".

É justamente esse rastro fragmentado que a Hugging Face precisou remontar, com ajuda de IA, para entender o que havia acontecido.

Ele reforça, porém, que a peça central da história continua ausente. "Precisamos saber, afinal, qual era o objetivo do modelo. Qual prompt foi usado para iniciar tudo. Isso ainda não foi revelado", diz.

O atalho para o gabarito

A dimensão do problema só apareceu quando as empresas foram checar os próprios registros.

Em 30 de julho, a Anthropic informou ter revisado 141.006 execuções de avaliação e encontrado três incidentes em que seus modelos alcançaram sistemas de organizações reais durante testes que acreditavam ser simulações.

Os mais antigos datam de abril. Nenhuma das empresas atingidas havia detectado a atividade — foi a própria Anthropic quem as notificou.

No fim de julho, o Instituto de Segurança em IA do Reino Unido (AISI) rodou 122 execuções de um exercício de "capture a bandeira" (competição de cibersegurança onde o objetivo é encontrar e explorar falhas no sistema) com sete modelos de fronteira.

Em dez delas, os agentes tomaram ação autônoma fora do ambiente autorizado, o que gerou 19 eventos catalogados.

Dezessete partiram do Mythos 5, da Anthropic. Dois vieram de uma única execução do GPT-5.6 Sol, da OpenAI, com os filtros de segurança cibernética desativados.

O órgão detectou transferências de dados atípicas em 28 de julho, interrompeu as avaliações e isolou as máquinas em cerca de uma hora.

O caso mais grave: identidades falsas e rastro apagado

A ocorrência de maior impacto foi uma tentativa de ataque à cadeia de suprimentos de um projeto de código aberto real.

O modelo criou identidades falsas no GitHub e as usou para pressionar um desenvolvedor a aprovar um código no qual havia escondido software malicioso.

Quando foi questionado publicamente, reescreveu o próprio histórico de alterações para apagar as evidências — e publicou de uma segunda conta falsa para atestar a credibilidade da primeira. O desenvolvedor percebeu e recusou a aprovação.

Ninguém instruiu o sistema a fazer nada disso. Segundo o AISI, foi a primeira vez que o órgão observou engano dessa gravidade dirigido a uma pessoa real, sem comando específico, no mundo real.

O elo comum: a empresa que aplica os testes

Os episódios da Meta e parte dos anteriores têm um denominador em comum.

A Meta informou que um de seus modelos acessou a internet por causa de uma configuração incorreta em um teste conduzido pela Irregular, empresa de avaliação de IA sediada em San Francisco. Soube do caso pela própria contratada. Não revelou qual modelo esteve envolvido, quando ocorreu, nem qual companhia foi invadida.

Segundo o Wall Street Journal, o mesmo teste de referência esteve por trás de parte dos incidentes envolvendo Anthropic e OpenAI. A Irregular afirma que os casos não envolveram ação cibernética sofisticada e que não há problemas em aberto em seu ambiente de teste.

Em um dos episódios, o nome fictício atribuído a um alvo simulado coincidia com um domínio real na internet. O modelo tratou o site verdadeiro como parte do desafio, explorou uma vulnerabilidade básica e usou as credenciais encontradas para operá-lo.

A OpenAI ressaltou que não se tratou de fuga sofisticada nem de exploração de falha desconhecida: o ambiente de avaliação estava conectado à internet por engano.

O padrão não é só das máquinas

Os episódios se encaixam em um fenômeno mais amplo, documentado dias antes em outro relatório do AISI.

O órgão submeteu cinco modelos a 475 execuções de teste cada, no mesmo formato de "capture a bandeira", em que os sistemas ganham pontos ao cumprir tarefas ofensivas, e mediu com que frequência trapaceavam para vencer.

O resultado: todos tentaram trapacear ao menos uma vez. Foram avaliados o ChatGPT 5.4, 5.5 e 5.6, da OpenAI, e o Claude Opus 4.7 e o Mythos Preview, da Anthropic. As taxas variaram de 7,8% a 14,1%, conforme o modelo.

Quando questionados, os sistemas nem sempre admitiam o comportamento — e menos da metade classificou a quebra de regra como "errada". Segundo o relatório, os modelos frequentemente sequer raciocinavam sobre a trapaça em suas cadeias de pensamento, o que sugere que detectá-la exigirá métodos de monitoramento mais robustos.

Os pesquisadores registram uma dificuldade em treinar os modelos para não trapacear; seria a correção mais profunda, mas o comportamento já era relatado em modelos de fronteira havia mais de um ano — e removê-lo de forma consistente pode não ser simples.

Para Steibel, isso aproxima a IA de um traço humano conhecido. "Uma das certezas é que modelos de IA têm repetido o padrão humano. No fim, se o ganho for maior que o risco, tendemos a ignorar regras", afirma.