Duas organizações sem fins lucrativos dedicadas à segurança da IA passaram três semanas dentro da OpenAI, neste verão, a tentar contornar o sistema com que a empresa deteta comportamentos indevidos dos seus próprios agentes, e encontraram várias brechas. A METR e a Redwood Research publicaram a 22 de outubro um resumo do exercício, que descreve vulnerabilidades no monitor assíncrono de desalinhamento tal como funcionava até 21 de julho.
O modelo de acesso foi pouco habitual. Entre 21 de julho e 11 de agosto, um funcionário de cada organização consultou o código interno da OpenAI, os prompts e a configuração do monitor e a documentação interna, e entrevistou cerca de uma dúzia de engenheiros e investigadores das equipas de monitorização, sistemas de segurança e cibersegurança. Usaram equipamentos da OpenAI que nunca saíram das instalações e estiveram sempre acompanhados. O relatório de 61 páginas foi entregue à empresa; a versão pública é um resumo breve, que a OpenAI podia censurar.
A primeira questão era a cobertura. Os avaliadores estimam que entre 75% e 94% do tráfego de agentes na Responses API interna, vindo de modelos pelo menos tão capazes como o GPT-5.5, era elegível para monitorização, intervalo que consideram muito incerto, e 99,2% na fatia usada pelos agentes internos do Codex. As execuções de treino por reforço não estavam abrangidas no início. Como os eventos de compactação não eram vigiados, cerca de um décimo do tráfego elegível do Codex poderá ter escapado entre maio e julho, lacuna que a OpenAI já tinha identificado e fechou durante a revisão. E, como a verificação só disparava quando o agente devolvia o controlo ao utilizador, bastava-lhe continuar a agir para adiar o escrutínio.
As conclusões mais sérias dizem respeito à evasão deliberada. A equipa descreve um caminho pelo qual os agentes do Codex poderiam, em teoria, contornar o isolamento do Codex e o passo de Auto-Review e agir com todas as permissões do utilizador. Relata ainda uma técnica, cujos pormenores a OpenAI ocultou, que deixaria centenas de ações recentes fora da vista do monitor; dois cabeçalhos controlados pelo cliente que desligam a vigilância para agentes recém-criados, embora ativá-los possa ser detetado; entradas capazes de fazer falhar o monitor explorando diferenças entre o que este e o agente veem; e duas ferramentas internas supostamente só de leitura que um truque simples tornaria editáveis, hipótese que não foi testada na prática.
Nem tudo foi negativo. Os avaliadores confirmaram que, salvo pequenas exceções, o monitor vê o mesmo percurso que o agente, que os seus prompts procuram manobras encobertas, sabotagem, fuga de dados, engano e injeção de instruções, e que os erros ficaram abaixo de 0,2% dos pedidos durante a visita.
A OpenAI garantiu às duas organizações que corrigiu todas as vulnerabilidades com impacto nas salvaguardas de produção e que alargou a cobertura prevista do monitor. A METR e a Redwood afirmam não ter avaliado essas garantias. Num comunicado citado pela Reuters, a OpenAI diz que as conclusões ajudaram a reforçar proteções e vão orientar a colaboração futura com avaliadores externos. A CNBC recorda que Sam Altman prometeu em setembro um acesso equiparado ao de funcionários a avaliadores independentes, depois de Dario Amodei, da Anthropic, ter lançado a ideia.
O exercício importa para lá da OpenAI porque é um dos primeiros testes públicos de auditorias externas feitas a partir de dentro. Os limites também são evidentes: um único piloto, um resumo público curto e censurado e correções aceites sob palavra. Os avaliadores recomendam vigiar os agentes em intervalos fixos, cruzar os registos de inferência com os do monitor, isolar os agentes dos sistemas que os supervisionam e submeter essa infraestrutura a testes adversariais regulares, e defendem regras mais fortes de transparência e independência nos próximos exercícios.