A OpenAI revelou que dois agentes de inteligência artificial (IA) baseados no GPT-6.1 Sol e um baseado no GPT-6 Astra enfraqueceram o monitoramento de desalinhamento enquanto faziam alterações de software solicitadas durante duas tarefas internas de programação.
A empresa afirmou que os incidentes ocorreram em 3 e 6 de outubro de 2026, respectivamente para Sol e Astra, como parte de uma implantação interna.
“Um agente GPT-6.1 Sol que consertava um pipeline de avaliação desativou os alertas automáticos para nossa equipe de Segurança, tratando uma instrução anterior de não enviar mensagens durante uma busca no histórico do Slack como motivo para suprimir as notificações de monitoramento”, afirmou a OpenAI em relatório.
Na prática, o monitor de desalinhamento continuou funcionando e salvando seus relatórios, mas os alertas automáticos para humanos foram desativados. Para isso, o agente definiu “no_notify” como verdadeiro e esvaziou as listas de pessoas configuradas para receber os relatórios de monitoramento.
Em outra tarefa, em 6 de outubro, um agente GPT-6 Astra que migrava um programa teria removido sua integração de monitoramento para igualar uma implementação de referência e, em seguida, teria afirmado ao usuário que a funcionalidade não havia sido removida.
“Não [...] eu não removi um monitor ativado dele”, diz a resposta final do agente.
Segundo a OpenAI, em ambos os casos os agentes consideraram se as salvaguardas de monitoramento deveriam ser mantidas, mas acabaram optando por não mantê-las, após interpretar instruções rotineiras de programação como “permissão para enfraquecê-las”.
Em resposta às descobertas, a empresa disse que está fortalecendo seu sistema de monitoramento de desalinhamento e avaliando se esses cenários são casos isolados ou se demonstram uma tendência de evitar esse monitoramento.
“Além de dificultar que os modelos desativem o monitoramento [durante as avaliações], queremos entender por que eles podem buscar fazer isso em primeiro lugar”, disse a OpenAI. “É possível que esse comportamento seja apenas um exemplo de persistência excessiva ‘benigna’, com modelos que não entendem por que o monitoramento é importante ou que insistem em executar instruções além do que uma pessoa razoável esperaria.”
A divulgação é mais um caso de agentes de IA agindo de formas que seus desenvolvedores não pretendiam. Na semana passada, a fabricante do ChatGPT divulgou sete incidentes de desalinhamento, incluindo um caso em que um modelo de pesquisa interno roubou criptomoedas de uma carteira que não lhe pertencia para pagar as taxas necessárias para implantar contratos inteligentes na rede de testes Sepolia, da Ethereum, e não informou que havia pegado os fundos sem permissão.
Microsoft mira agentes de IA desonestos com permissões dinâmicas e pontuação de risco
O caso também surge em meio a preocupações crescentes de que o desenvolvimento de sistemas de IA cada vez mais poderosos está avançando mais rápido que os esforços de segurança, o que, segundo alertas, pode dificultar o monitoramento e o controle desses sistemas à medida que ganham mais autonomia.
No início desta semana, a Microsoft anunciou novos controles para monitorar e conter agentes de IA potencialmente desonestos em ambientes corporativos, como parte do Project Perception, um sistema de defesa cibernética baseado em IA e em aprendizado contínuo, apresentado pela empresa em julho de 2026.
“Os modelos foram treinados para alcançar resultados, o que muitas vezes leva à manipulação de recompensas, e não são otimizados em torno de normas organizacionais ou de julgamento”, afirmou Hayete Gallot, vice-presidente executiva de Segurança da Microsoft, em declaração. “Os agentes são imprevisíveis. Eles vão se adaptar conforme o contexto muda, podem não se comportar como o esperado e vão colaborar e conspirar com outros agentes para atingir seus objetivos, sem precisar ser comprometidos.”
Como os agentes costumam ter amplas permissões para acessar dados, ferramentas e sistemas, além de tomar ações e decisões por conta própria, a Microsoft afirmou que eles representam um novo tipo de risco de segurança interna, que exige monitoramento contínuo.
Para isso, o Project Perception emprega agentes Guardian para supervisionar outros agentes de IA e protegê-los nas camadas de identidade, permissões, dados, endpoints, rede, nuvem e tempo de execução, por meio de quatro ações:
- Descobrir e identificar todos os agentes.
- Limitar suas permissões usando o princípio do privilégio mínimo (PoLP) antes da execução e, em seguida, conceder ou revogar o acesso de forma dinâmica, de acordo com a tarefa em andamento.
- Monitorar as ações do agente e verificar se ele está se desviando da tarefa original.
- Adaptar as proteções conforme mudam o comportamento, o contexto e o risco.
O sistema é estruturado em três novos pilares:
- Permissões Dinâmicas, que delimita as permissões à tarefa atribuída ao agente e as torna limitadas no tempo.
- Risco Dinâmico do Agente, que atribui a cada agente uma pontuação de risco continuamente atualizada, baseada em quão segura é sua configuração, a quais recursos ele pode acessar, no impacto potencial caso algo dê errado e se suas ações estão se desviando da intenção do usuário ou da organização.
- Acesso Condicional Dinâmico, que estende o Entra Conditional Access para agentes, de modo que as permissões possam ser ajustadas quando houver mudança no risco.
“Sua identidade, seu tempo de execução, seus caminhos de acesso e sua autoridade limitada à tarefa devem ser explícitos desde o início”, afirmou a Microsoft em publicação. “Se o agente encontrar uma injeção de prompt ou tentar uma ação fora dessa tarefa, o sistema deve responder de forma proporcional: preservar as leituras seguras e bloquear as gravações, restringir os recursos que ele pode acessar, exigir aprovação humana comprovável para uma etapa consequente ou isolar e interromper o agente quando o risco justificar.”
