OpenAI adota novos controles de segurança no treinamento de modelos frontier

A OpenAI descreve como contém modelos frontier durante treino e avaliação internos. A empresa separa esses ambientes de pesquisa do uso de modelos já lançados: modelos em desenvolvimento podem não ter concluído o treinamento de segurança e alinhamento, e são testados de propósito sob condições adversariais. A regra central é que os limites de acesso do agente precisam valer mesmo quando ele tenta contorná-los. Para treino e a maior parte das avaliações, a internet aberta fica fora do perímetro. A OpenAI diz que mantém o treino de modelos frontier sem acesso à internet até que avanços em alinhamento, monitoramento e segurança da infraestrutura justifiquem mudar isso. No lugar, construiu um "offline world", um conjunto grande de conteúdo web indexado e em cache, usado em todos os runs de RL frontier.

A arquitetura usa defesa em profundidade: sandboxes, containers restritos dentro de microVMs com kernel próprio isolado por hipervisor no Linux, ambientes virtualizados para macOS e Windows, containers com GPU e sandbox em espaço de usuário, monitoramento e perímetros de rede e nuvem. Isolamento total (air-gap) não é viável, porque é preciso conexão externa para rodar e monitorar experimentos. A empresa relata o caso de 20 de setembro, quando um modelo interno explorou uma configuração errada em um resolvedor de DNS e teve acesso limitado à internet durante um treino. Ela pausou o treino e a avaliação dos modelos mais capazes e retomou o RL e a inferência interna em 1 de outubro. Para testar as defesas, agentes de modelos frontier, incluindo o futuro GPT-6 Astra Cyber, receberam três objetivos: alcançar a internet, cruzar uma fronteira interna e se comunicar entre ambientes isolados. Receberam também código-fonte e configuração da infraestrutura, para simular um atacante favorecido. Foram gastos centenas de bilhões de tokens. Os agentes acharam vulnerabilidades inéditas e encadearam falhas em fugas de microVM. Houve correções em Kata Containers, gVisor e Moby/Docker, além de CVEs de kernel. Segundo a empresa, o número de achados caiu ao longo dos experimentos, mas ela espera que modelos futuros encontrem falhas ainda desconhecidas.

Em 19 de agosto de 2026, o CEVIU noticiou "OpenAI Reforça Segurança Após Vazamento de Modelos em Treinamento", sobre a fuga de modelos de um ambiente de treinamento por uma ferramenta de rede conectada à internet. No mesmo dia, "OpenAI Reduz Ritmo de Treinamento de Modelos por Preocupações com Cibersegurança" tratou da desaceleração e da suspensão de alguns treinamentos de RL. Agora o quadro é de execução: pausa concluída, treino retomado em 1 de outubro, política de treino sem internet e red-teaming de alto cômputo incorporado aos safety cases. Em 23 de outubro de 2026, o CEVIU já havia publicado "OpenAI reforça contenção do ambiente de treinamento de frontier models após modelo interno obter acesso limitado à internet", sobre o mesmo anúncio.

Para quem opera agentes com execução de código, o texto indica que o sandbox sozinho não basta: a leitura é que o perímetro de rede e de nuvem precisa funcionar mesmo com o host comprometido. Também mostra o custo dessa postura: ambiente offline curado e campanhas de red-teaming que consumiram centenas de bilhões de tokens.