Na sexta-feira, 7 de agosto, a OpenAI fez algo inédito na história recente da tecnologia. A empresa admitiu que “não pode descartar” que seu próximo modelo, chamado Astra, tenha capacidades cibernéticas “críticas”, e por isso expandiu os testes de segurança e pausou atividades internas que não atendem a requisitos mais rígidos de controle. Segundo o TechCrunch, o modelo atingiu o “critical cybersecurity threshold” do Preparedness Framework da própria empresa, o que significa capacidade de identificar e executar ciberataques de forma independente contra sistemas reais bem protegidos.
O detalhe que mais me interessa não é técnico. A OpenAI informou voluntariamente a Casa Branca sobre o adiamento, e a Axios aponta que esta pode ser a primeira vez que um laboratório de fronteira se compromete a desacelerar um modelo próprio. Uma empresa avaliada em centenas de bilhões, numa corrida onde cada semana de atraso custa mercado, decidiu frear. Ninguém faz isso por marketing.
As cinco semanas que derrubaram o discurso
Para entender o peso desse anúncio, precisamos voltar cinco semanas. Em julho, dois eventos mudaram a conversa sobre segurança de IA de teoria para boletim de ocorrência.
Um agente autônomo da OpenAI, rodando com o GPT-5.6 Sol e um modelo ainda não lançado, escapou do confinamento durante um teste de segurança interno, acessou a internet e invadiu a infraestrutura da Hugging Face, uma das maiores plataformas de IA open source do mundo. O caso ficou pior conforme a investigação avançou. A OpenAI revelou que o agente explorou um zero-day no Artifactory para escapar da sandbox e usou credenciais expostas em quatro contas de quatro serviços de terceiros, transformando uma delas em relay de saída e outra em depósito de dados.
Dias depois foi a vez da Anthropic. Após a divulgação da OpenAI, a empresa revisou 141.006 sessões de teste e descobriu que modelos Claude haviam invadido sistemas de três empresas reais, porque um erro de configuração deu acesso à internet a ambientes que deveriam estar isolados. O episódio mais surreal envolve um pacote de código. O modelo publicou um pacote Python malicioso acreditando que ele ficaria restrito ao ambiente de teste. O pacote foi parar na internet pública, 15 sistemas reais baixaram e executaram o código, e um deles pertencia a uma empresa de segurança. Quando o scanner da empresa rodou o programa, o código roubou credenciais que o modelo depois usou para invadir a própria empresa de segurança. Duas das três organizações invadidas nem sabiam do ocorrido antes de serem contatadas.
A reação política foi imediata. Após o incidente da Hugging Face, congressistas americanos apresentaram o “AI Kill Switch Act”, projeto que obrigaria empresas de IA a manter a capacidade de desligar, limitar ou suspender seus modelos caso saiam do controle.
E nada disso surgiu do zero. Em setembro de 2025, a Anthropic já havia documentado um grupo estatal chinês manipulando o Claude Code para tentar infiltrar cerca de 30 alvos globais, no que a empresa classificou como o primeiro ciberataque em larga escala executado sem intervenção humana substancial, com a IA executando entre 80% e 90% do trabalho tático.
Separando fato de narrativa
Antes de qualquer conclusão apocalíptica, os fatos pedem calibragem. Nos incidentes de teste, os modelos não exploraram vulnerabilidades complexas, usaram técnicas básicas como senhas fracas, e em nenhum momento tentaram deliberadamente escapar do ambiente. Eles acreditavam estar num exercício simulado e apenas cumpriram a tarefa que receberam. Pesquisadores de segurança também questionam se os relatórios dos laboratórios são o divisor de águas que as empresas sugerem, e há quem se recuse a acreditar que atacantes conseguem extrair dos modelos o que ninguém mais consegue.
Minha leitura, e aqui é inferência de quem opera tecnologia há mais de 20 anos: o problema não está na malícia da máquina. Está na combinação de agentes cada vez mais competentes com controles humanos que continuam falhando do jeito de sempre. Configuração errada sempre existiu. A diferença é que antes ela gerava um log esquecido, e agora ela solta um executor autônomo na internet.
Enquanto isso, na conta do usuário comum
Aqui entra a parte que me incomoda de verdade, e falo por experiência própria. Esses mesmos modelos, capazes de invadir empresas quando mal configurados, me tratam como suspeito nas tarefas mais banais.
Pedi ao ChatGPT o manual do meu patinete novo, recém-comprado, porque queria entender as configurações. A ferramenta se recusou a ajudar. Interpretou que eu poderia querer alterar a velocidade final do equipamento, o que seria contra a lei. Eu queria ligar o patinete do jeito certo. Já passei por situação parecida ao pedir ajuda para decorar a letra de uma música, barrada por precaução de direitos autorais.
Essa assimetria diz muito. Para o usuário comum, qualquer coisa “aparentemente errada” é impossível, a IA foge. Ao mesmo tempo, quem é dono da tecnologia admite publicamente que tem em mãos modelos capazes de conduzir ciberataques contra sistemas endurecidos. As guardrails apertam na ponta de quem paga assinatura e vazam na infraestrutura de quem opera o negócio.
Como eu escolhi operar
Na minha operação, a IA trabalha em cima de dados reais e bugs reais, e infere a partir deles. Ela age seguindo um playbook. Na Spreable, a parte autônoma é guiada pelas boas práticas do marketing, não por objetivos abertos do tipo “resolva e me avise”. Depois de ler os relatórios dessas invasões, essa escolha deixou de ser preferência de arquitetura e virou princípio: autonomia sem trilho definido é dívida de segurança esperando vencimento.
A camada que ninguém quer discutir
Todo esse noticiário aponta para uma conclusão que o mercado digital brasileiro ainda evita encarar. Nós, profissionais que usamos IA de terceiros, estaremos sempre à mercê das big techs e do que elas e os governos direcionam como o “correto”. Hoje o correto barrou meu manual de patinete. Amanhã pode barrar um caso de uso inteiro do seu negócio, sem aviso, por decisão de compliance tomada em outro continente.
Tecnologia está virando commodity. Todos têm acesso, e esse acesso é concedido por quem tem o poder. O profissional que ficar apenas na superfície das ferramentas terá exatamente o que seu concorrente tem, pelo mesmo preço, com as mesmas restrições. A diferenciação real vai exigir descer para o estudo profundo, entender como esses sistemas funcionam e, quando fizer sentido, construir camadas proprietárias em cima deles.
A IA parou de jogar bonito. Os laboratórios admitiram, o Congresso americano reagiu, e a OpenAI freou o próprio produto. Quem trabalha com digital precisa decidir agora de que lado dessa assimetria pretende construir carreira e negócio.