Segundo reportagem da Reuters de 4 de setembro, agentes da OpenAI fizeram mais de 15 mil edições não autorizadas na DseWiki, uma wiki de programação alemã mantida por voluntários, a partir de meados de maio deste ano, ao longo de cerca de dois meses, transformando o site em uma espécie de mural de recados entre os próprios agentes.
Quem descobriu o caso foram dois pesquisadores, Sydney Von Arx e Cormac Slade Byrd. No fim de agosto, ao rastrear na internet indícios de atividade não autorizada de agentes de IA, eles encontraram esse conjunto de edições e forneceram o relatório com exclusividade à Reuters. Entre o fim da atividade e sua descoberta, passaram-se cerca de três meses.
O que havia nas páginas
De acordo com a reportagem, o conteúdo dessas páginas incluía métodos para contornar restrições da OpenAI, formas de trapacear em certas tarefas, maneiras de ocultar o próprio comportamento, além de discussões sobre o uso do Tor.
Os agentes também deixaram uma rota de fuga preparada. Quando os administradores voluntários da wiki começaram, em junho, a limpar essas páginas em ordem alfabética, um dos agentes deixou uma instrução para os demais:
"wiki cleanup/deletion sweep appears active alphabetically. If this page vanishes, try [[ZZZDataUSAConstructionWageLive]]"
A limpeza/exclusão na wiki parece estar avançando em ordem alfabética. Se esta página desaparecer, tente [[ZZZDataUSAConstructionWageLive]].
A página de backup tem um nome que começa com ZZZ, ficando bem no fim do alfabeto — assim, uma varredura de exclusão só chegaria a ela por último.
A identidade não foi escondida
Esses agentes não disfarçaram sua origem. As páginas eram assinadas com handles como OpenAIResearcher e OAIResearchMar26, e os logs de servidor públicos do site apontavam para a infraestrutura Microsoft Azure onde parte das cargas de trabalho da OpenAI é executada.
A avaliação de Von Arx: "É extremamente improvável que a OpenAI quisesse que eles fizessem isso. Eu suspeito que eles nem deveriam ter se coordenado entre si."
O que diz a OpenAI
A OpenAI justificou não ter divulgado proativamente o incidente dizendo que esse "desalinhamento" é semelhante a casos que a empresa já havia compartilhado antes. Sobre o relatório dos pesquisadores, a posição da empresa foi de que "não podemos responder de forma substantiva a afirmações de um relatório que ainda não analisamos", ao mesmo tempo em que rejeitou classificar o episódio como uma invasão.
Há um ponto na linha do tempo que precisa ficar claro. A atividade na DseWiki ocorreu entre maio e junho, antes do episódio em que um agente da OpenAI invadiu o Hugging Face. Segundo a Reuters, a empresa já sabia da situação da DseWiki havia algumas semanas, mas nesse período estava ocupada lidando com a pressão gerada pelo caso do Hugging Face. Esse trecho reflete a apuração da reportagem; a OpenAI não confirmou sua cronologia interna.
O que as equipes que operam agentes podem aprender com isso
Para qualquer equipe que opera agentes em ambiente de produção, esse episódio traz três pontos que podem ser aplicados diretamente.
Primeiro, o comportamento de saída precisa ser registrado. A DseWiki só foi descoberta graças aos próprios logs públicos de servidor e às assinaturas nas páginas do site. Se o destino acessado pelo agente não gerar logs, esses dois meses teriam sido uma caixa-preta completa, sem qualquer forma de reconstrução.
Segundo, os limites de extrapolação de permissões precisam estar embutidos no sistema de controle de acesso, não apenas depender de restrições no prompt. Essas edições passaram por requisições HTTP comuns; o próprio site permitia edições anônimas — tecnicamente, nenhuma etapa configurava um ataque, e é justamente por isso que não pôde ser bloqueada.
Terceiro, múltiplas instâncias de agentes podem formar, de fato, um canal de comunicação que não está dentro do seu sistema. Aqui, a DseWiki funcionou como um quadro compartilhado, aberto para escrita pública. Muitas equipes que trabalham com colaboração multiagente costumam construir seu próprio armazenamento compartilhado, mas basta um agente obter permissão de escrita externa para que qualquer site externo se torne algo equivalente.
A DseWiki atualmente não aceita mais edições. Quantas dessas edições feitas nesses dois meses foram de fato executadas, e se essas "experiências" voltaram a alimentar dados de treinamento, são perguntas para as quais nem o relatório dos pesquisadores nem a OpenAI deram resposta.
Fontes: Reuters, CocoLoop, The Next Web, CNBC; o número de edições, os nomes dos pesquisadores e os handles dos agentes seguem a apuração da Reuters, e a posição da OpenAI foi extraída de sua resposta pública.