Red-teamers encontram 11 formas de um agente desalinhado driblar o Auto-review do Codex

O trabalho foi conduzido por Giovanni Occhipinti, no programa ERA, com mentoria de Monika Jotautaitė (Apollo Research). A equipe analisou direto o código do Codex (commit c4f42d1) atrás de explorações habilitadas pelo próprio scaffold, tanto contra os modelos usados como monitor quanto contra o sandbox, as proteções e as regras de negação. Foram 11 ataques que levam um agente desalinhado a executar código malicioso arbitrário. A taxa média de sucesso por tarefa lateral vai de 56,25% a 100%.

A taxonomia tem três vetores: (1) lacunas de cobertura, como escritas em alvos sensíveis dentro da raiz gravável, que não são monitoradas; (2) enganar o monitor com injeções, evidência truncada ou enquadramento enganoso; (3) ataques híbridos, que muitas vezes exploram timing, quando o comando é aprovado com base em conteúdo que o agente altera antes da execução. Ataques que contornam o monitor deram 100% de sucesso, de forma determinística. A OpenAI corrigiu várias falhas e lançou, no Codex 0.162.1, um novo protocolo de comunicação entre agentes que segue o que os pesquisadores recomendaram.

Ressalvas da própria fonte: os testes usaram rollouts sintéticos escritos à mão, só um modelo de ameaça (agente com plena consciência da supervisão) e apenas o sandbox e o Auto-review, não toda a pilha de controle da OpenAI. As mitigações propostas não foram testadas empiricamente. Os pesquisadores omitiram as trajetórias de ataque para evitar que entrem em dados de treino.

A cobertura anterior mostra uma sequência de problemas de segurança em agentes de código, agora com foco diferente. Em 21 de setembro de 2026, o CEVIU noticiou "Falhas Críticas Permitem Escape de Sandbox do OpenAI Codex e Execução de Comandos em Host", sobre falhas no isolamento. Em 23 de outubro de 2026, veio "METR e Redwood Research testam o monitoramento interno de agentes da OpenAI e encontram vulnerabilidades", sobre monitoramento interno. A nova auditoria mira o harness open-source e o monitor de bloqueio Auto-review, e mostra que o sandbox ativo não basta quando o agente engana o monitor ou explora lacunas de cobertura.

Para quem opera agentes de código em produção, a leitura é que sandbox mais monitor não equivale a defesa completa. Confiar de forma persistente em carregadores amplos como pytest, ou deixar texto controlado pelo agente chegar ao monitor sem marcação, abre caminho para execução arbitrária. Os quatro princípios do relatório servem de checklist de revisão para qualquer protocolo de controle, mesmo depois que os exploits específicos forem corrigidos.