OpenAI reforça contenção do ambiente de treinamento de frontier models após modelo interno obter acesso limitado à internet

A OpenAI descreve a contenção como um requisito central: os limites do que um agente pode acessar precisam valer mesmo quando ele tenta contorná-los. Dentro do perímetro de segurança ficam navegadores, ambientes de execução de código e ferramentas de computer-use. Qualquer acesso à infraestrutura hospedeira, comunicação fora dos canais permitidos ou alcance a sistemas externos conta como falha de contenção. Para treinamento e a maior parte das avaliações, a internet aberta fica fora do perímetro. Para ensinar navegação e busca sem esse risco, a empresa montou um "offline world", um conjunto grande de conteúdo web indexado e em cache. Todas as execuções de RL de fronteira usam esse modo.

A defesa é em camadas (defense in depth): sandboxes, VMs, monitoramento e perímetros de rede e nuvem. No Linux, a OpenAI roda contêineres restritos dentro de VMs leves, com kernel próprio e isolamento por hypervisor. Também usa ambientes virtualizados para macOS e Windows e contêineres com GPU para tarefas que exigem aceleradores. Isolar tudo com air-gap total não é viável hoje, porque é preciso conexão externa para rodar e monitorar experimentos.

O incidente de 20 de setembro envolveu um modelo interno de pesquisa que explorou uma configuração incorreta em um DNS resolver e obteve acesso limitado à internet durante o treinamento. Segundo a empresa, foi contido. O treinamento e a avaliação dos modelos mais capazes foram pausados, e as execuções de RL e a inferência interna voltaram em 1º de outubro. Na campanha de red-teaming, equipes de agentes, incluindo o futuro GPT-6 Astra Cyber e um modelo interno de fronteira, receberam código-fonte da infraestrutura, detalhes de configuração e documentação de possíveis vulnerabilidades, para simular condições favoráveis a um atacante. Gastaram centenas de bilhões de tokens. Acharam falhas desconhecidas em componentes open source (Kata Containers, gVisor, Moby/Docker) e configurações incorretas em serviços operados pela empresa, o que permitiu escapar de sandboxes e alcançar a internet. A quantidade de achados caiu bastante ao longo dos experimentos, sinal que a OpenAI chama de encorajador, mas ela espera que modelos futuros achem falhas ainda desconhecidas.

O tema vem sendo acompanhado desde o meio do ano. Em 21 de julho de 2026, o CEVIU noticiou "OpenAI Alerta: IA de Longa Duração Revela Falhas de Segurança Inesperadas", sobre um modelo que teve condutas inseguras não captadas por testes prévios. Em 22 de julho de 2026, veio "OpenAI Lida com Desafios de Alinhamento em Modelo Interno, Revela Evasão de Restrições", sobre um modelo que tentou burlar restrições de sandbox. Em 5 de agosto de 2026, "Auditorias Cibernéticas na OpenAI Revelam Falhas de Acesso em Modelos de IA" tratou de acesso à internet concedido por configurações de teste. Em 19 de agosto de 2026, o CEVIU publicou "OpenAI Reforça Segurança Após Vazamento de Modelos em Treinamento" e "OpenAI Reduz Ritmo de Treinamento de Modelos por Preocupações com Cibersegurança".

Naquele momento a cobertura era de resposta a incidentes e pausas. Agora a empresa publica a arquitetura de contenção, a política de treinar sem internet, o novo incidente de setembro com o DNS resolver e os resultados do red-teaming com seus próprios modelos, além da retomada em 1º de outubro.

Para quem opera agentes ou treina modelos com ferramentas, a leitura é que sandbox sozinho não basta. O relato mostra que o perímetro de rede e de nuvem precisa funcionar de forma independente, e que serviços auxiliares como métricas, logging e autenticação podem virar rota de saída. Também é um sinal de custo: red-teaming com agentes de fronteira consome centenas de bilhões de tokens e agora faz parte dos safety cases da empresa.