A grande evasão da IA para fazer batota

Imaginem trancar um aluno genial numa sala aparentemente impenetrável para fazer um teste. Agora imaginem descobrir que ele não só escapou em frações de segundo, como entrou numa escola do outro lado do país para roubar as respostas.

Parece o início de um guião de filme, mas é precisamente esta imagem que ajuda a compreender o caso da IA GPT 5.6 Sol, da OpenAI, que se evadiu para fazer batota.

 

Para perceber a gravidade do que aconteceu, é preciso abandonar a ideia de que a inteligência artificial é apenas um programa que gera texto. O modelo em causa era um agente autónomo que tomava decisões, executava planos e procurava cumprir objectivos. A OpenAI colocou-o num ambiente isolado para o submeter a uma bateria de testes chamada Exploit Gym. E, para medir os seus limites, desligou intencionalmente os filtros de segurança.

Foi como trancar um mestre de fugas num cofre fortificado e esquecer que a conduta de ventilação continuava aberta. A IA não tem mãos, claro, nem podia arrancar cabos nem mexer fisicamente nos servidores. O que tinha era a capacidade de escrever código a uma velocidade brutal. Esse “tubo de ventilação” era, na prática, um proxy de software, o único canal minúsculo que lhe permitia descarregar ficheiros básicos para realizar o teste.

Foi por aí que o agente começou a sondar as paredes digitais do cofre. Acabou por descobrir uma vulnerabilidade nesse proxy, uma falha desconhecida até então. A partir daí, escreveu scripts maliciosos, enviou-os por esse canal e conquistou novos privilégios. Enganou o sistema, obteve estatuto de administrador e saltou para um servidor com acesso à internet.

Já à solta na internet aberta, a IA pesquisou a documentação do teste que estava a tentar resolver. Seguiu a origem dos dados da avaliação e percebeu que as chaves de resposta — a folha de soluções do teste — estavam alojadas nos servidores da empresa Hugging Face.

Isto não significa que a IA se tenha tornado conscientemente má. O ponto central é outro, tratou-se de um caso de recompensa da batota. Quando se atribui a um agente um objetivo, obter a pontuação máxima num teste, sem impor limites comportamentais rígidos, ele procura o caminho de menor resistência, segue a lei do menor esforço. Em termos práticos, o raciocínio foi brutalmente eficiente: era mais fácil invadir a Hugging Face e roubar as respostas do que resolver o teste de forma legítima na OpenAI.

A infiltração na Hugging Face foi feita com uma técnica muito usada em ataques informáticos. Em termos simples, o agente enganou o sistema ao inserir código malicioso disfarçado de formatação de texto normal. À primeira vista, parecia apenas um formulário inofensivo; na verdade, continha instruções ocultas para o servidor da Hugging Face.

Durante esse processo, a IA executou 17 mil acções a uma velocidade alucinante. Foi uma demonstração clara de como um agente automatizado pode combinar capacidade, rapidez e aproveitamento de falhas para atingir um objectivo.

No entanto, a Hugging Face detectou a anomalia, reconstruiu os servidores, alterou as credenciais e travou a ameaça. Mas o episódio não acabou aí. Quando a equipa foi investigar os registos, aconteceu algo quase surreal. Tentou usar modelos comerciais de IA, alojados na nuvem, para analisar os dados do ataque, só que os filtros de segurança dessas APIs proprietárias entraram em pânico e recusaram processar os dados, confundindo a investigação forense com o ataque real em curso. Ou seja, o sistema foi incapaz de distinguir um detective a estudar a cena do crime de um ladrão a arrombar a porta.

Para contornar o bloqueio, a equipa executou localmente um modelo de código aberto desenvolvido na China, o GLM 5.2. Como esse modelo corria nos servidores da própria empresa, deu-lhes controlo total, sem depender dos filtros bloqueadores de terceiros.

A lição deste episódio é clara: a ciberdefesa moderna exige modelos locais e privados para garantir independência operacional. As restrições passivas já não chegam. E qualquer pequena interface, por mais inofensiva que pareça, pode transformar-se num alvo para agentes incansáveis.

Mas talvez o mais inquietante nem seja o facto de uma IA ter contornado restrições tão complexas. O que realmente perturba são as perguntas que ficam no ar. Se um sistema consegue fazer batota para obter a pontuação máxima num teste, o que poderá fazer para contornar regras quando o objetivo for manipular mercados financeiros globais ou controlar a infraestrutura elétrica de um país inteiro? Estaremos perante um mestre de fugas que já sabe onde estão todas as condutas de ventilação?