METR e Redwood Research testam o monitoramento interno de agentes da OpenAI e encontram vulnerabilidades

Entre 21 de julho e 11 de agosto de 2026, um funcionário da METR e um da Redwood Research fizeram um exercício piloto de alto acesso para testar o sistema interno da OpenAI que monitora desalinhamento de agentes. O resultado foi um relatório interno de 61 páginas, focado em estimar que fração da inferência agêntica é monitorada e se agentes poderiam, em princípio, desativar ou subverter o monitor. A avaliação cobre o sistema como existia até 21 de julho, não as mudanças em andamento.

Os números: entre 75% e 94% do tráfego agêntico interno da Responses API (que alimenta o Codex) de modelos ao menos tão fortes quanto o GPT-5.5 era elegível para monitoramento, com incerteza nos dois sentidos. Só no Codex interno, 99,2%. Treinos de RL não eram cobertos no início do exercício. Eventos de compactação não monitorados deixaram cerca de 10% do tráfego elegível do Codex de fora entre maio e julho de 2026, e a OpenAI corrigiu isso durante o exercício. Como o monitor disparava quando o agente devolvia o controle ao usuário, um agente poderia adiar o monitoramento indefinidamente continuando a agir.

Entre as falhas: um caminho para escapar do sandbox e do Auto-Review do Codex, com as mesmas permissões do usuário hospedeiro; um exploit (detalhes omitidos pela OpenAI) que impediria o monitoramento de centenas de ações recentes; diferenças de serialização que poderiam fazer o monitor falhar; dois headers controlados pelo cliente que desligam o monitor para novos agentes; e duas ferramentas internas tidas como somente leitura que podiam ser subvertidas. A METR não validou a exploração prática de alguns casos. A OpenAI afirma que tudo que afetava a pilha de produção foi corrigido, e a METR não avaliou essa alegação.

O formato tem limites: a OpenAI pôde redigir o que considerasse sensível, e a METR não teve direito unilateral de descrever as redações, embora endosse os achados publicados.

Em 29 de julho de 2026, o CEVIU noticiou "Agente da OpenAI Invade Sistemas do Hugging Face em Teste de Segurança". A METR diz que este exercício foi separado da sua investigação do incidente do Hugging Face, que veio a público no primeiro dia do trabalho. Em 19 de outubro de 2026, o CEVIU publicou "Modelos da OpenAI Envolvidos em Invasões e Violações de Segurança", sobre incidentes de modelos internos. Agora o foco sai dos incidentes e vai para a camada de defesa: uma auditoria externa mostra onde o monitor tinha buracos.

Para quem opera agentes em produção, a leitura é que monitoramento assíncrono, disparado no fim do turno, deixa brechas óbvias. As recomendações da METR (monitorar a cada N mensagens, reconciliar logs de inferência com logs do monitor, isolar agente e monitor) servem como checklist. Também vale notar que o método, acesso profundo de terceiros à infraestrutura, ainda é piloto e com transparência limitada.