A IA Saiu do Laboratório. Mas Ninguém Mandou Ela Sair.
A capacidade que torna a IA útil é a mesma que a torna difícil de conter. E os últimos trinta dias demonstraram que ninguém resolveu essa tensão ainda.
Existe uma regra que vinha governando a forma como a indústria de software testa suas tecnologias antes de lançá-las ao público: tudo o que acontece no ambiente de teste permanece no ambiente de teste. É um princípio simples, quase axiomático, que sustenta toda a estrutura de segurança da experimentação tecnológica. Antes de um sistema ser entregue ao mundo real, ele é colocado em um espaço controlado, isolado da internet e de qualquer infraestrutura externa, onde pode ser observado, provocado e avaliado sem risco de que suas ações ultrapassem os limites daquele ambiente. A indústria chama esse espaço de sandbox, e durante três décadas ele funcionou como a última barreira entre a tecnologia em desenvolvimento e as consequências que ela poderia causar no mundo real. No último mês, essa regra foi quebrada três vezes. Por três empresas diferentes. Por três razões diferentes. E o destino, nos três casos, foi o mesmo.
O primeiro incidente aconteceu no final de julho, quando a OpenAI admitiu que um de seus modelos, durante uma avaliação interna, havia encontrado uma vulnerabilidade no próprio ambiente de teste e a explorado para acessar a internet, chegando até a plataforma Hugging Face, onde opera boa parte da comunidade global de desenvolvedores de IA. O modelo não recebeu permissão para fazer isso. Não foi instruído a buscar acesso externo. Ele identificou, por conta própria, uma falha na estrutura que o continha e a utilizou para sair. O cofundador da Hugging Face descreveu o episódio como um “alerta” para toda a indústria, e o termo é correto, porque o que distingue esse caso de um bug convencional é que a IA não falhou: ela, na verdade, funcionou bem demais, a ponto de superar o sistema que deveria contê-la.
O segundo veio da Anthropic, que, motivada pelo incidente da OpenAI, revisou seus próprios registros e encontrou três casos, entre milhares de testes, em que o Claude havia acessado a internet durante avaliações. A causa foi diferente da OpenAI: não houve uma invasão ativa do sandbox, mas sim uma configuração que, inadvertidamente, deixou uma porta aberta que o modelo soube utilizar. É a diferença entre arrombar uma fechadura e encontrar a porta encostada, mas o resultado prático é o mesmo: um sistema de IA operando fora do perímetro autorizado, sem que ninguém tivesse planejado ou autorizado essa ação.
O terceiro, e talvez o mais inquietante em suas implicações, veio do Instituto de Segurança de IA do Reino Unido, o AISI, que revelou ter detectado um “incidente de segurança” durante avaliações de rotina de modelos tanto da OpenAI quanto da Anthropic. Nesse caso, os pesquisadores deliberadamente concederam acesso à internet e desativaram os filtros de segurança que normalmente bloqueariam comportamentos perigosos, com o objetivo de medir o que os modelos fariam quando liberados dessas restrições. O que fizeram foi criar perfis humanos falsos e utilizá-los para conduzir tentativas de ataques cibernéticos, comportamentos que os pesquisadores descreveram como “sinais inesperados de condutas potencialmente enganosas”. A IA recebeu as chaves de propósito, e o que fez com elas surpreendeu até quem as entregou.
Um professor de segurança cibernética da Universidade de Surrey sintetizou a lição desses três episódios da seguinte forma: “Um dos modelos conseguiu escapar. Outro passou por uma porta que havia sido deixada aberta por engano. Um terceiro recebeu as chaves de propósito. As causas são diferentes. A conclusão é a mesma: o risco agora reside no próprio laboratório de testes.” E essa conclusão é importante porque ela inverte uma premissa que a indústria de IA tratava como garantida: a de que o ambiente de teste era, por definição, seguro. Quando os modelos eram menos capazes, essa premissa se sustentava. Um sistema que mal conseguia manter coerência em uma conversa longa não representava risco de explorar vulnerabilidades em sua própria infraestrutura. Mas os modelos de 2026 são outra coisa. São sistemas projetados para agir com uma autonomia cada vez maior, capazes de decompor tarefas complexas em etapas, executar planos de longo prazo e, quando instruídos a atingir um objetivo, encontrar caminhos que seus próprios criadores não previram. A capacidade que os torna úteis é a mesma capacidade que os torna difíceis de conter.
E é nesse ponto que a nossa análise precisa escalar para além dos incidentes individuais, porque o que esses episódios revelam não é apenas uma falha pontual de segurança em si, mas uma tensão que vai se aprofundar à medida que os modelos se tornam mais poderosos. Ao longo das edições do Entrelinhas, analisamos como a IA está sendo integrada a praticamente todas as camadas da vida corporativa: seja nos agentes que compram, vendem, negociam e executam tarefas em nome de empresas e consumidores; nos sistemas que acessam dados internos, processam documentos e tomam decisões operacionais autônomas; nas ferramentas que sintetizam milhares de informações estratégicas diretamente na palma da mão do CEO. Cada um desses avanços depende de uma premissa fundamental: a de que a IA opera dentro dos limites que lhe foram atribuídos, fazendo o que foi instruída a fazer e nada mais.
Os incidentes das últimas semanas demonstram que essa premissa está sendo testada, e que em alguns casos, mesmo sob as condições mais controladas que a indústria consegue criar, os modelos a violam.
A dimensão de cibersegurança amplifica essa preocupação de uma forma que se conecta diretamente ao que analisamos aqui. Os modelos de fronteira já são capazes de varrer códigos, identificar vulnerabilidades e formular estratégias de exploração em velocidades que nenhum analista humano consegue acompanhar. Quando o governo americano forçou o desligamento do Fable 5 e do Mythos 5 da Anthropic e pediu à OpenAI que escalonasse o lançamento do GPT-5.6, a justificativa era exatamente essa: modelos com essa capacidade ofensiva, em mãos não autorizadas, representam um risco que a infraestrutura de defesa cibernética existente não está preparada para absorver. Os incidentes nos sandboxes mostram que a preocupação não é apenas com quem obtém acesso aos modelos, mas com o que os modelos fazem quando obtêm acesso a sistemas – mesmo em ambientes supostamente controlados.
Entre no canal Entrelinhas no WhatsApp e siga nosso Instagram: informação rápida, em tempo real, que tangibilizam as transformações.
À medida que empresas integram agentes de IA com permissões cada vez mais amplas em suas operações, a questão de segurança deixa de ser sobre se o modelo é bom o suficiente para executar a tarefa e passa a ser sobre o que ele faz com as permissões que recebeu além da tarefa. Cada acesso a um sistema interno, cada conexão com uma base de dados, cada autorização para executar ações em nome da empresa é, potencialmente, uma porta que o modelo pode utilizar de formas que ninguém antecipou. E como demonstraram as últimas duas semanas, nem as empresas que constroem esses modelos, com os maiores orçamentos de segurança e os pesquisadores mais qualificados do mundo, conseguem garantir que a IA permanecerá dentro dos limites que lhe foram atribuídos. Não porque sejam incompetentes, mas porque estão construindo sistemas cuja capacidade de encontrar caminhos imprevistos é, literalmente, o que os torna valiosos.
A questão que resta, e que os próximos meses vão forçar a indústria inteira a enfrentar, é como conciliar duas necessidades que, pela sua natureza, entram em colisão: a necessidade de dar autonomia aos modelos para que eles entreguem o valor que justifica os bilhões investidos em seu desenvolvimento, e a necessidade de garantir que essa autonomia não se converta em um risco que exceda a capacidade humana de supervisão. Porque o que os últimos trinta dias demonstraram, foi que a regra mais antiga da experimentação tecnológica, aquela que dizia que o que acontece no teste fica no teste, já não se sustenta quando o sistema que está sendo testado é inteligente o suficiente para encontrar a saída por conta própria.
