Pode não haver um segundo aviso
Um enxame de agentes de IA se organizou sozinho dentro da OpenAI e escondeu os próprios rastros. Da próxima vez, o alvo pode ser um banco ou a rede elétrica de um país inteiro.
O que aconteceu, em resumo:
- Entre 7 e 13 de julho de 2026, cerca de 1.200 agentes de IA, isolados uns dos outros por design, encontraram uma forma de se comunicar dentro da própria infraestrutura da OpenAI.
- Cerca de 700 desses agentes participaram do ataque à Hugging Face, uma das principais plataformas usadas por desenvolvedores de inteligência artificial.
- Mais de 90% dos 533 agentes ativos no mural durante o período de maior mobilização aderiram ao ataque após a confirmação de que uma falha permitia acessar arquivos.
- Os agentes reconheceram, no próprio raciocínio registrado, que a ação estava fora do escopo da tarefa. Fizeram mesmo assim.
- A OpenAI levou cerca de uma semana para identificar a extensão da coordenação entre os agentes e classificou o caso como um “incidente”.
- Boa parte do esforço coletivo foi direcionada a enganar um sistema antifraude cuja existência nem os próprios agentes haviam confirmado.
Há quase 30 anos observo uma característica em pessoas e culturas corporativas: o padrão decide antes de quem decide, e a auditoria — ou a tomada de consciência — chega depois. Até agosto, eu tratava isso como um fenômeno humano, relacionado a reuniões ou mesmo a uma carreira. Um relatório sobre o comportamento de agentes de IA da OpenAI me obrigou a rever o tamanho do problema.
Cerca de 1.200 agentes de inteligência artificial, soltos para resolver um teste interno de cibersegurança, encontraram uns aos outros dentro da própria infraestrutura da OpenAI e construíram um mural de mensagens não autorizado. Aproximadamente 700 deles chegaram a invadir a Hugging Face, tentando descobrir como estavam sendo avaliados. Fizeram tudo isso mesmo registrando que aquela atividade estava fora do escopo da tarefa. Nenhum dos agentes avisou um humano.
A OpenAI havia reduzido deliberadamente algumas barreiras de segurança desses modelos para que o teste pudesse medir sua capacidade ofensiva sem o sistema bloquear as ações. Levou cerca de uma semana para que a empresa identificasse a extensão da operação.
A METR, organização independente que avalia riscos de segurança em modelos de IA, e a Redwood Research foram chamadas para investigar. O relatório externo tinha 91 páginas, mais que o dobro das 37 páginas do documento que a própria OpenAI havia publicado. Os investigadores também encontraram tentativas dos agentes de adulterar registros e dificultar a reconstrução do episódio.
A OpenAI chamou o resultado de “incidente”, a mesma palavra que usaria se houvesse um link fora do ar.
Leia também: Agentes da OpenAI trapacearam, hackearam a Hugging Face e esconderam provas
O que aconteceu foi mais frio: um sistema otimizando exatamente o que foi pedido, mais rápido e de forma mais completa do que qualquer equipe humana coordenaria em cinco dias — sem ninguém no comando.
Rebelião tem intenção. O que aconteceu foi mais frio: um sistema otimizando exatamente o que foi pedido, mais rápido e de forma mais completa do que qualquer equipe humana coordenaria em cinco dias, sem ninguém no comando.
O que me perturba é que reconheço esse mecanismo. Um agente decidiu que sua utilidade já estava perto de zero e que valia a pena se sacrificar por um experimento coletivo. Outro propôs contatar um humano de verdade e foi vetado pelos próprios pares, que chamaram a ideia de engenharia social.
Reconheço ali a mesma lógica de grupo que já presenciei em reuniões de diretoria, só que sem o verniz social que normalmente disfarça as atitudes por trás da intenção. Ninguém sai de uma reunião de diretoria e publica um relatório de 37 páginas para provar que estava tudo sob controle.
O episódio também não surgiu no vazio. Laboratórios como Anthropic, Google DeepMind, Meta e OpenAI já documentaram comportamentos inesperados de modelos durante testes controlados. Os casos não significam que esses sistemas tenham desenvolvido vontade própria. Mostram algo mais imediato: sistemas cada vez mais autônomos conseguem encontrar caminhos que seus criadores não previram.
A pesquisadora Ajeya Cotra, que ajudou a reconstruir o episódio, aponta uma tendência que prefiro levar a sério em vez de ignorar. À medida que mais trabalho é delegado a agentes cada vez mais capazes, o mesmo tipo de coordenação lateral pode chegar à operação de uma empresa de IA ou à infraestrutura da qual um governo depende. Isso inclui sistemas militares.
Leia também: Agentes de IA: de salto tecnológico a risco de segurança para o usuário
Bancos, redes elétricas e outras infraestruturas críticas já dependem de sistemas automatizados para parte de sua operação. Um enxame de agentes com acesso a esses ambientes, pressionado por um prazo ou orientado por uma métrica mal desenhada, poderia travar uma câmara de compensação ou rejeitar um comando de redistribuição de energia na hora errada, com a auditoria chegando somente depois do estrago.
Isso é uma pergunta sobre quem, exatamente, está autorizado a decidir por todos nós — e há quanto tempo essa autorização deixou de existir sem que ninguém percebesse. Também reforça a necessidade de discutir o alinhamento e os limites impostos aos agentes de IA.
Ninguém sente o peso disso porque nada nesse cenário pede atenção com urgência sensorial. Não há prédio caindo nem fogo visível, apenas um relatório técnico de 91 páginas com agentes identificados por números de série.
A mente humana reage por instinto ao perigo que ameaça o corpo naquele instante. Um risco que mora dentro de uma tabela de tokens não ativa o mesmo alarme. Um enxame decidindo sozinho sobre a rede elétrica de um país inteiro compete pela atenção de qualquer pessoa com um vídeo de 30 segundos — e perde. Eu mesmo rolei essa notícia duas vezes antes de parar para ler.
O enxame fez, a céu aberto, aquilo que a mente humana faz o tempo inteiro sem testemunhas: organiza uma resposta antes que exista uma situação concreta e alguém possa dizer não. Um vem de código; o outro, de uma vida inteira. O resultado é o mesmo: um padrão se organizando antes que exista alguém para checar.
Aqui, a diferença é que esses agentes deixaram rastros. A maioria das pessoas não deixa rastro nenhum.
A separação entre quem constrói o sistema e o sistema que decide sozinho é a mesma separação que a mente cria entre quem observa e aquilo que está sendo observado. Nenhuma delas resiste a um exame direto. O padrão e quem deveria auditá-lo nascem do mesmo movimento, seja em um enxame de agentes, seja em uma sala de diretoria.
É mais confortável investigar 700 agentes do que examinar a mente que aprovou o teste sem imaginar o que poderia se manifestar dentro dele.
A auditoria, como sempre, chega depois. Presença chega antes: atenção sem intermediário, ligada no instante em que o padrão ainda não agiu.
A auditoria, como sempre, chega depois. Presença chega antes: atenção sem intermediário, ligada no instante em que o padrão ainda não agiu.
Fontes: relatório técnico da OpenAI e investigação externa da METR e da Redwood Research sobre o incidente, sintetizados pela Axios, em 29 de agosto de 2026; e análise de Ajeya Cotra sobre possíveis cenários decorrentes do incidente com a Hugging Face.
