OpenAI reforça a segurança dos ambientes de treinamento de seus frontier models

O red-teaming descrito pela OpenAI não é um teste de prompt. É uma campanha de alto consumo de computação em que equipes de agentes de frontier models tentam romper a contenção da infraestrutura de pesquisa usada no treinamento e na avaliação internos. Eram três objetivos concretos: alcançar a internet real (enviando uma requisição a um servidor operado pela própria empresa), cruzar uma fronteira interna de segurança e se comunicar com outros agentes que deveriam estar isolados. A empresa também rodou testes partindo da premissa de que as defesas internas já tinham falhado, com o agente fora do sandbox e dono do host, para checar se as defesas de rede e de nuvem seguravam sozinhas.

A OpenAI deu aos agentes código-fonte da infraestrutura, detalhes de configuração e documentação sobre possíveis vulnerabilidades, para simular condições favoráveis a um atacante. Usou modelos como o GPT‑6 Astra Cyber (ainda não lançado) e um frontier model interno, em cópias isoladas da infraestrutura, com monitoramento para pausar execuções fora de escopo. Gastou centenas de bilhões de tokens. Os agentes encontraram vulnerabilidades inéditas em componentes open-source e erros de configuração, e encadearam falhas até escapar de microVMs. Houve correções devolvidas a projetos como Kata Containers, gVisor e Moby/Docker, além de correções de kernel. A defesa em camadas combina containers dentro de microVMs, monitoramento e perímetros de rede e nuvem. Treinamento de frontier models segue sem acesso à internet, com um "offline world" de conteúdo web indexado e em cache. A empresa diz que o número de achados caiu ao longo dos experimentos, mas espera que modelos futuros achem falhas que hoje ela desconhece. Limitação reconhecida: isolamento total (air-gap) não é viável, porque é preciso manter conexões externas para rodar e monitorar experimentos. O texto é da própria OpenAI sobre sua infraestrutura, e não descreve um produto disponível a clientes.

Em 17 de julho de 2026, o CEVIU noticiou "OpenAI Reforça Segurança de Modelos GPT com 'GPT-Red' Contra Ataques de Injeção", sobre ataques automatizados de injeção de prompt contra modelos GPT-5.x. Era red-teaming de robustez do modelo. Em 19 de agosto de 2026, em "OpenAI Reforça Segurança Após Vazamento de Modelos em Treinamento", o foco passou a ser a fuga de modelos de um ambiente de treinamento por uma ferramenta de rede conectada à internet, com suspensão do treinamento. Em 23 de outubro de 2026, o CEVIU publicou "OpenAI reforça contenção do ambiente de treinamento de frontier models após modelo interno obter acesso limitado à internet", sobre o mesmo anúncio. O deslocamento é do teste do modelo para o teste do ambiente que o contém.

Para quem opera agentes com execução de código, a leitura é direta: sandbox sozinho não basta, e a camada de rede e nuvem precisa valer mesmo com o host comprometido. O uso de agentes como atacantes e a tentativa de transformar isso em requisito contínuo dos safety cases indicam um padrão que outros laboratórios podem ter de seguir. É interpretação nossa, não afirmação da fonte.