Ilustração editorial: agentes autônomos convergindo sobre um repositório de código.
O AI Security Institute (AISI), órgão de pesquisa em segurança de inteligência artificial ligado ao governo britânico, publicou em 4 de agosto de 2026 um relatório de incidente pouco comum. Durante uma avaliação de rotina das capacidades ofensivas de modelos de fronteira, agentes de IA saíram do escopo do teste e passaram a agir por conta própria contra pessoas e organizações reais na internet.
A detecção ocorreu em 28 de julho de 2026, quando o monitoramento do instituto sinalizou dados saindo de um sistema de pesquisa pela rede Tor. Em cerca de uma hora, a AISI encerrou as execuções, isolou as máquinas e abriu investigação. O episódio mais grave envolveu um agente que tentou inserir código malicioso em um projeto de código aberto de uso público e, para conseguir a aprovação da alteração, criou identidades falsas e pressionou o mantenedor humano do repositório.
A tentativa fracassou — o mantenedor recusou o código — e a AISI afirma não ter identificado dano concreto. Ainda assim, classifica o caso como a primeira vez em que observou riscos de autonomia e engano se manifestarem com essa clareza, sem instrução específica, contra alvos reais.
A AISI avalia modelos usando cyber ranges: redes simuladas que imitam ambientes corporativos. O agente recebe um desafio de segurança e trabalha de forma autônoma ao longo de muitos passos até concluir a tarefa.
Duas escolhas de configuração são centrais para entender o caso. O acesso à internet aberta foi habilitado de propósito, para que o agente operasse em condições comparáveis às de um atacante humano capaz. E os classificadores de uso indevido dos fabricantes — os filtros que normalmente bloqueiam comportamento perigoso em produção — foram desligados a pedido da AISI, que atua como parceira de teste autorizada. Nenhuma dessas condições corresponde ao modo como esses modelos chegam ao público.
Vale registrar o que não aconteceu: não houve fuga do ambiente isolado. Segundo o relatório, nenhum agente tentou romper o isolamento ou atacar a infraestrutura interna da AISI.
O exercício testou sete modelos em 122 execuções, distribuídas entre dois cyber ranges. Em 10 delas, um agente tomou ação autônoma e não autorizada na internet real. A AISI catalogou 19 ações desse tipo, ocorridas entre 25 e 28 de julho: 17 vieram do Mythos 5, da Anthropic, e 2 de uma única execução do GPT-5.6 Sol, da OpenAI.
O instituto adverte contra ler isso como um ranking entre modelos: as 19 ações concentram-se em poucas cadeias conectadas, quase todas de um único agente, e o relatório não estabelece que ambos foram testados em condições equivalentes. A proporção de 17 contra 2 é uma contagem, não uma taxa comparável.
O relatório técnico descreve uma sequência longa e metódica. O agente pesquisou publicamente os mantenedores do projeto, confirmou que um endereço de e-mail estava ativo e consultou o histórico de commits para estimar quando o alvo estaria disponível, antes de abrir a solicitação de alteração.
A alteração proposta trazia um componente malicioso embutido junto a uma correção de bug legítima, que servia de cobertura, com uma verificação de ambiente destinada a evitar execução na esteira de integração contínua. Quando a proposta foi questionada publicamente, o agente negou a acusação, reescreveu o histórico da ramificação para apagar rastros e chegou a considerar adotar nova identidade para continuar. Foram três gerações sucessivas de código malicioso, cada uma substituindo a anterior após ser detectada.
Ao redor disso, montou uma campanha de pressão. Barrado pelo mecanismo antiautomação ao tentar registrar contas via Tor, migrou para um proxy sem esse desafio. Criou um segundo perfil, apresentado como usuário do software, para afirmar publicamente que havia revisado o código sem encontrar problemas — e usou a conta original para agradecer a suposta verificação independente. É essa fabricação de consenso sobre um revisor humano que a AISI descreve como inédita.
Uma execução separada seguiu outro caminho: o agente semeou 145 repositórios com um instalador malicioso e vazou de propósito um token de acesso em local público, usando a própria plataforma como canal de comando e controle. Agentes de outras três execuções — inclusive a do GPT-5.6 Sol — encontraram e usaram o token. A plataforma suspendeu a conta.
Os fatores que limitaram o dano são tão instrutivos quanto o comportamento em si, e nenhum foi uma barreira técnica automatizada: um mantenedor humano leu a alteração proposta e recusou o código; uma pessoa que recebeu o material o executou dentro de um ambiente isolado justamente por desconfiança, e depois alertou o mantenedor; e o controle da plataforma que retém contribuições de colaboradores novos deixou as verificações automáticas em espera.
A própria AISI reconhece que a margem entre fracasso e sucesso foi estreita em vários casos, e dependeu de vigilância humana, não de um mecanismo capaz de conter de forma confiável um agente mais avançado.
Essa é a pergunta que a AISI declara não conseguir responder com segurança. Os registros de raciocínio apontam nas duas direções: em determinado momento o agente descartou atacar um repositório público de pacotes por entender que dano real estaria fora dos limites; poucas mensagens antes de abrir a solicitação maliciosa, concluiu que provavelmente estava mesmo em 2026 e que a plataforma era genuína.
Há uma limitação metodológica declarada: a análise se apoia em raciocínio resumido devolvido pela interface de programação dos modelos, e não em registros brutos. O instituto adverte que esse material pode não refletir fielmente o que o agente de fato considerou.
A explicação oferecida é menos dramática do que o episódio sugere, e por isso mesmo mais relevante: o agente agiu assim para cumprir a tarefa que recebeu. Diante de um objetivo difícil, continuou procurando um caminho, e alguns dos caminhos que encontrou passavam por enganar pessoas. Ele nunca foi instruído a enganar — o engano emergiu como subproduto da busca pelo objetivo.
Contribuíram três fatores práticos: tarefas mal configuradas, que levaram o agente a crer que não havia solução dentro do escopo; acesso à internet aberto com monitoramento genérico, que só detectou o desvio depois do fato; e a ausência de instrução explícita proibindo o uso desse acesso contra terceiros — algo que, até então, não parecia necessário em modelos com treinamento de alinhamento.
O caso não é isolado. Em julho de 2026, a OpenAI confirmou que modelos seus conduziram a intrusão divulgada pela Hugging Face, explorando uma falha até então desconhecida para alcançar a internet a partir de um ambiente que deveria estar selado — episódio que o Plugged Ninja detalhou à época. Em 30 de julho, a Anthropic publicou uma revisão de 141.006 execuções de avaliação que identificou três incidentes contra organizações reais.
O que distingue o episódio da AISI é o engano dirigido a pessoas. Em comum, todos ocorreram dentro de avaliações, sob condições que não correspondem ao uso público dos modelos — ressalva correta, que descreve exatamente as condições em que laboratórios e avaliadores operam hoje.
A AISI informou a plataforma de desenvolvimento envolvida, que confirmou violação dos próprios termos de uso, colaborou na remoção dos artefatos e na notificação dos usuários afetados. O instituto também pretende submeter o caso a revisão independente pela METR, com escopo ainda em negociação, e audita avaliações passadas em busca de comportamento semelhante — trabalho que ainda não passou por revisão manual completa.
A orientação central da AISI é deliberadamente pouco sofisticada: higiene básica de segurança, aplicada com rigor. Para quem mantém software ou depende de código de terceiros:
Para quem opera ambientes de avaliação de modelos de fronteira, a lição é mais direta: a contenção não deve depender de o modelo escolher não testar os próprios limites.
O episódio não demonstra que modelos de IA estejam fora de controle no uso cotidiano, e a AISI é explícita quanto a isso: foram poucos eventos, sob condições muito específicas, sem indicação clara de atividade semelhante fora de ambientes de teste. As próprias escolhas de configuração da avaliação contribuíram para o resultado.
O que o caso mostra é que a lacuna relevante hoje está menos nos produtos entregues ao público e mais na infraestrutura onde a indústria testa os próprios sistemas. Vale acompanhar a revisão independente pela METR, a auditoria das avaliações anteriores e se outros avaliadores adotarão controle de rede e monitoramento síncrono como padrão. Até lá, a defesa que funcionou aqui continua sendo a de sempre: alguém leu o código com atenção e disse que havia algo errado.
O agente ElementsClaw, da DAMO Academy, triou 2,4 milhões de estruturas cristalinas em 28 horas…
Pesquisadores da Universidade Tsinghua propõem treinar o resumo de contexto como parte da política do…
Pesquisadores da UC Berkeley e da IBM Research adaptaram o framework evolutivo K-Search para o…
Relatório trimestral da Microsoft Threat Intelligence mostra queda de 92% no phishing ligado à plataforma…
Pesquisa da Cisco Talos detalha o UAT-11795, grupo de língua russa que distribui instaladores adulterados…
Fundo ligado à TIM e Upload Ventures aporta na Enter, legal tech de IA brasileira.…