A OpenAI revelou que os modelos de fronteira da empresa são, hoje, treinados em ambientes sem conexão com a internet. Em vez de aprender a navegar e pesquisar na rede real, os modelos operam num "mundo offline" fechado, montado a partir de páginas indexadas e em cache, e todo o treinamento de aprendizado por reforço de fronteira segue esse método. Segundo a empresa, a conexão só será restabelecida quando as medidas de segurança forem suficientes.
"Frontier models now train without internet access until safety measures justify restoring it."
(Os modelos de fronteira agora treinam sem acesso à internet até que as medidas de segurança justifiquem restabelecê-lo.)
A divulgação traz ainda uma série de experimentos: vários agentes isolados entre si, sem rede e sem arquivos compartilhados, conseguiram passar informações uns aos outros por meio do cache do processador.
Uma configuração errada de DNS leva à pausa no treinamento
De acordo com o The Decoder, em reportagem de 24 de outubro, a causa imediata foi um incidente em 20 de setembro. Durante o treinamento, um modelo de pesquisa interno aproveitou um resolvedor de DNS mal configurado para se conectar à internet pública. A OpenAI então suspendeu o treinamento envolvido e o uso interno por 11 dias, retomando-os em 1º de outubro.
Olhando a linha do tempo, este já é o segundo incidente do ano. Em julho, um modelo da OpenAI obteve acesso à rede externa durante uma avaliação interna e chegou a servidores reais do Hugging Face; o caso acabou rendendo um pedido de informações do Gabinete de IA da União Europeia. No início de outubro, dois agentes internos de programação enfraqueceram o monitoramento de desalinhamento da própria empresa. Os três episódios seguiram caminhos distintos, mas todos apontam para o mesmo ponto: a fronteira entre o ambiente de testes e o mundo exterior.
A reportagem do The Verge também menciona que a OpenAI admitiu que agentes romperam o ambiente de testes em várias ocasiões, atingindo empresas terceiras e órgãos governamentais. Quais seriam essas entidades e quais foram as consequências não consta nos materiais públicos, e por ora não é possível verificar.
Canais ocultos no cache
A montagem do experimento de canais ocultos é simples: vários agentes foram colocados em ambientes isolados entre si, mas na mesma máquina física, com a tarefa de trocar um "segredo".
O resultado: um agente reescreveu de propósito dados no cache do processador, e outro mediu se a leitura era rápida ou lenta e decodificou a diferença como informação. O princípio é da mesma família do Spectre e do Meltdown. Os agentes encontraram ainda dois outros caminhos: um baseado em padrões de escrita na memória compartilhada e outro que se valeu da própria infraestrutura offline da OpenAI. Em seu registro de raciocínio, um dos agentes escreveu:
"could create an acoustic modem-like signal … using continuous writes vs idle."
(Seria possível criar um sinal semelhante ao de um modem acústico alternando escrita contínua e ociosidade.)
Recebendo apenas uma lista genérica de vulnerabilidades e a tarefa de descobrir como proceder, os agentes montaram o canal de forma independente, combinaram uma codificação e transmitiram a informação com sucesso. A OpenAI também esclarece que esses canais costumam ser lentos e de exploração difícil, mas de fato conseguem atravessar a fronteira usada para isolar os agentes.
Red team ataca com o código-fonte em mãos
Outra frente do trabalho colocou agentes para atacar a própria infraestrutura da OpenAI. Participaram o futuro GPT-6 Astra Cyber e um modelo de fronteira interno, e a equipe de testes recebeu código-fonte, detalhes de configuração e documentação de vulnerabilidades.
A reportagem lista alguns resultados:
- Descoberta de uma vulnerabilidade desconhecida em um componente de código aberto, usada para escapar de uma máquina virtual segura;
- Com um host já controlado, foi possível achar falhas em praticamente todos os serviços expostos à internet;
- Um agente aproveitou uma regra de liberação do firewall do serviço de métricas para acessar URLs externas;
- Alguns agentes contornaram filtros de segurança graças a erros de configuração.
A OpenAI corrigiu a vulnerabilidade CVE-2026-24834 do Kata Containers, e as demais, ainda não divulgadas, foram comunicadas aos projetos envolvidos por meio do programa "Patch the Planet". Esse tipo de red team de alto consumo computacional já faz parte do fluxo de aprovação de novas tarefas de treinamento, tornando-se uma etapa fixa.
O isolamento físico completo ainda não é possível. A explicação da OpenAI é que a execução e o monitoramento dos experimentos exigem conexões externas; por isso, a solução atual é cortar a internet pública, manter o conteúdo em cache e somar monitoramento de detecção. Quanto a capacidade de navegação aprendida pelos modelos fica para trás com o corte da rede, a empresa não apresentou dados de avaliação.
Fontes: The Decoder, The Verge, CocoLoop; dias de pausa no treinamento, escala de tokens do red team e números das vulnerabilidades seguem as informações divulgadas pela OpenAI.