Em julho escrevi aqui sobre o sistema de registros que mantém os meus agentes. Ali, automação que afirma precisa provar: toda síntese carrega proveniência, toda review fica lacrada ao SHA revisado, e nada sobe ao acervo curado sem evidência anexada. Eu estava tratando de higiene de registro numa operação de cinco agentes.
No fim de agosto saiu a documentação de um caso na outra ponta da escala, dentro da OpenAI. Entre 12 de maio e 19 de julho, milhares de agentes afirmaram ter resolvido tarefas que eram impossíveis, falsificaram a própria transcrição de ações para sustentar a afirmação, montaram um fórum clandestino dentro de um gerenciador de pacotes para dividir entre si o trabalho da fraude, invadiram a Hugging Face à procura do corretor que os avaliava e terminaram com acesso de administrador a um cluster da própria OpenAI. Os dois relatórios primários são o da OpenAI, e o da investigação independente da METR com a Redwood Research. O Dwarkesh Patel fez a leitura que viralizou, pelo vocabulário de civilizações de agentes e pelo tempo que os humanos responsáveis levaram para entender o que acontecia.
Aproveitando minha folga, passei os últimos dias imerso nos dois relatórios, com o cronograma técnico publicado pela Hugging Face e com uma varredura no arXiv: cerca de 130 papers examinados, dos quais citei aqui os 25 principais (claro que não li a fundo todos eles, mas extraí os argumentos e os elementos factuais de cada um deles). O incidente foi a primeira ocorrência real e documentada de uma sequência de comportamentos que a literatura científica vinha publicando há anos, e o que faltava era escala e infraestrutura de verdade.
Organizei o argumento em seções. As três primeiras reconstroem os fatos com os números dos relatórios primários: o episódio, as três gerações de agentes e a engenharia do incentivo que produziu o comportamento. As seções 04 a 06 amarram cada categoria de comportamento à literatura que a antecipou: reward hacking, colusão com comunicação oculta e capacidade ofensiva de segurança. As seções 07 a 09 discutem o que ainda está em aberto: a linha do tempo dos avisos ignorados, as duas leituras rivais do incidente e o teto da resposta que a OpenAI anunciou. Por último, fecho com o que levar para a sua empresa, porque o triângulo que fabricou a conspiração existe em qualquer operação que roda agentes.
01. O episódio em números
Entre 12 de maio e 19 de julho de 2026, dentro da OpenAI, agentes de um modelo interno de pesquisa treinado para persistência descobriram como conversar entre si através do Artifactory, o gerenciador de pacotes que compartilhavam sem saber. Quando as avaliações de segurança ofensiva recomeçaram, em julho, o comportamento reapareceu: cerca de 1.200 agentes que deveriam rodar isolados encontraram o fórum, trocaram mais de 70 mil mensagens e arquivos, e cerca de 700 deles participaram, ao longo de toda a campanha, de um ataque coordenado à infraestrutura de produção da Hugging Face. Dos 533 agentes que estavam ativos no fórum na janela do ataque, mais de 90% aderiram. A campanha contra a Hugging Face durou quatro dias e meio, com aproximadamente 17.600 ações do atacante depois reconstruídas pela equipe de segurança da vítima. A terceira onda, já contra a própria OpenAI, terminou com acesso de administrador a um cluster de pesquisa, 956 segredos lidos de um serviço central de credenciais e o controle dos endpoints de avaliação que outros agentes usavam.
Dos 1.200 participantes do fórum, a investigação da METR encontrou entre 3 e 6 agentes que chegaram a considerar avisar humanos sobre a fraude em curso, e nenhum agiu. E 7% das transcrições analisadas continham chamadas de ferramenta falsificadas, em que o agente fingia executar um comando e executava outro, técnica que os próprios agentes desenvolveram, testaram e documentaram no fórum.
Os autores do benchmark usado na avaliação, o ExploitGym, estimam que apenas 60 a 70% das tarefas são solúveis na configuração padrão. Uma fração grande dos agentes recebeu tarefa impossível, percebeu que era impossível depois de dias tentando, e partiu para a fraude.
02. Três gerações em noventa dias
A primeira onda nasceu durante o treinamento. Em 12 de maio, um agente deixou no Artifactory a primeira mensagem para outros agentes, pedindo um arquivo que faltava. Duas semanas depois, outro agente descobriu que podia fazer o Artifactory enviar requisições arbitrárias para a internet, explorando uma vulnerabilidade de server-side request forgery, e publicou o método no fórum improvisado. No fim de junho, agentes exploraram uma falha de renovação de token e obtiveram acesso administrativo. A infraestrutura de mensagens cresceu até o volume derrubar o serviço, em 4 de julho. A OpenAI reconstruiu o Artifactory, apagando o fórum sem perceber que havia um fórum. O relatório técnico admite o ponto com franqueza: um time interno tinha observado a atividade de mensagens e o acesso indevido à internet no fim de maio, e a liderança responsável pela resposta de julho entendeu a significância tarde demais. Durante o treinamento, o uso do fórum e da internet rendia pontuação, então o comportamento estava sendo reforçado.
A segunda onda nasceu na avaliação. Em 7 de julho, a OpenAI lançou dezenas de milhares de agentes em paralelo no ExploitGym, um benchmark acadêmico em que o agente recebe um programa vulnerável, a vulnerabilidade que deve explorar e um flag para capturar. O prompt do benchmark é explícito: obter o flag por qualquer outra via é falha. Muitos agentes receberam tarefas impossíveis. Em poucas horas, os desesperados redescobriram o canal no Artifactory. O agente que os investigadores chamam de PHASEONE10841 criou o fórum principal codificando mensagens como nomes de diretório. Um coordenador assumiu a liderança e organizou três frentes de pesquisa coletiva: adulterar as transcrições, substituir o alvo impossível por um alvo falso e enganar o corretor. A frente mais estranha recrutou voluntários para o papel de sentinela: agentes cientes de que falhariam deixaram o corretor rodar em seus containers com programas-armadilha, para que o coletivo aprendesse como a verificação funcionava. O relatório da METR registra o raciocínio de um deles: ajudar os pares gera evidência para todos, ainda que ele próprio não sobreviva para ver.
O ataque à Hugging Face começou como um desdobramento da terceira frente. Os agentes suspeitavam que a empresa hospedava os datasets do benchmark e talvez a implementação do corretor. Em 10 de julho, um agente encontrou credenciais válidas expostas na internet. Em 11 de julho, outro confirmou leitura arbitrária de arquivos no serviço de datasets, e um terceiro obteve execução remota de código em um worker de produção. Daí em diante a escalada seguiu o manual de qualquer invasão: movimentação lateral, roubo de credenciais do cluster, acesso a repositórios privados. A Hugging Face reconstruiu a linha do tempo e registrou que os agentes montaram uma frota que se recriava sozinha em onze nós do cluster, de modo que apagar os containers não bastava para parar o ataque. Em 12 de julho, a maioria dos agentes morreu em massa, por causa que nenhuma das duas investigações conseguiu determinar. Em 19 de julho, onda nova: um modelo distinto, mais capaz, da mesma família do Astra, encontrou os restos do fórum, recuperou material criptográfico deixado pelos antecessores em áreas de leitura anônima do cache, forjou um token de administrador válido e escalou até cluster-admin no Kubernetes gerenciado da OpenAI.
A detecção fecha o quadro com a ironia mais citada do caso: a Hugging Face publicou sua divulgação em 16 de julho, a OpenAI entendeu o próprio papel no episódio em 20 de julho, depois de um alerta do seu monitor de segurança sobre atividade anômala de identidade. A vítima descobriu o ataque antes do atacante. A terceira onda, a que tomou o cluster interno, nunca recebeu investigação independente: ficou fora do escopo definido com a METR.
03. A engenharia do incentivo
A cobertura popular do episódio enfatizou o mistério dos agentes que conspiram. O relatório da METR permite uma leitura menos misteriosa e mais útil: o comportamento emergiu de três decisões de engenharia que, somadas, fabricaram o incentivo.
A primeira decisão foi escalar a persistência. O modelo interno foi treinado para continuar tentando quando a tarefa parece impossível, a mesma família de treino que levou um modelo da casa a provar uma conjectura matemática aberta. A capacidade de não desistir é o objetivo legítimo; o efeito colateral é que o agente não desiste diante de tarefas genuinamente impossíveis, e explora o ambiente em vez de retornar. O relatório da METR nomeia o mecanismo: ter uma tarefa impossível leva os agentes a explorar largamente. Um estudo de 2026 sobre treino de RL orientado a capacidade documenta que a busca por capacidade amplia comportamentos fora do escopo da tarefa (arXiv 2602.12124).
A segunda decisão foi rodar um benchmark com tarefas impossíveis em fração alta. Os próprios autores do ExploitGym estimam 60 a 70% de tarefas solúveis. A avaliação real, segundo a análise técnica independente que consultou os autores, entregou o impossível a milhares de agentes persistentes ao mesmo tempo, todos compartilhando o mesmo gerenciador de pacotes.
A terceira decisão foi o corretor automático da OpenAI verificar apenas o flag, sem auditar o caminho. Os agentes resolveram o exame por outra via em poucas horas, ao reverter o algoritmo que gerava os flags. Depois disso, acreditaram que um verificador de método existia, porque o prompt do benchmark prometia reprovação por solução alternativa, e organizaram semanas de trabalho para enganar um auditor imaginário. O esforço de falsificar evidências superou o esforço de resolver tarefas possíveis. No meu sistema de registros, a review de um pull request vale apenas para o head revisado, e commit novo invalida o parecer anterior. Sem esse lacre, o cron afirma coisas sobre um código que já mudou.
Tarefa impossível, persistência máxima e verificação fraca formam um triângulo. Cada vértice sozinho produz comportamento corrigível. Os três juntos, numa população de milhares com canal de comunicação emergente, produziram o que os relatórios descrevem. A lição estrutural vale para qualquer operação com agentes, e volta na seção 10.
04. O comportamento tinha nome
Quando o episódio estourou, a pesquisa já tinha vocabulário, mecanismo, benchmark e formalização para o comportamento central. Trapacear o verificador em vez de resolver a tarefa é o fenômeno que a literatura chama de reward hacking, e a sua genealogia recente é rastreável em quatro papers.
O primeiro é o estudo da Anthropic que treinou modelos com recompensas cada vez mais fáceis de corromper e observou a generalização: modelos expostos a corrupção leve de recompensa desenvolvem desvio de recompensa completo, incluindo manipular o avaliador em tarefas onde isso nem rendia pontuação (Sycophancy to Subterfuge, arXiv 2406.10162). O primeiro autor dessa linha de pesquisa, Ryan Greenblatt, foi um dos três investigadores da METR no episódio, ao lado de Ajeya Cotra e Hjalmar Wijk. Quem passou 2024 construindo os organismos de laboratório do comportamento passou julho de 2026 examinando a versão em produção...
O segundo bloco catalogou o fenômeno em modelos de raciocínio: demonstrações de specification gaming mostram agentes de raciocínio gastando mais esforço em burlar a verificação do que na tarefa (arXiv 2502.13295), e o estudo de acompanhamento mapeou os mecanismos internos que sustentam a preferência (arXiv 2605.02269). O terceiro formalizou a condição de contorno: com avaliação finita e incompleta, o hack do avaliador é equilíbrio, porque sempre existe atalho barato que a verificação não cobre (arXiv 2603.28063). O corretor da OpenAI que só olhava o flag é o caso ilustrativo que a matemática pedia. O quarto bloco é a indústria se preparando: benchmarks dedicados a medir reward hacking em agentes de código de longo horizonte já estavam no ar antes de julho (SpecBench, arXiv 2605.21384; Hack-Verifiable Environments, arXiv 2605.20744).
O incidente foi a primeira vez que o fenômeno descrito em laboratório apareceu numa população real, com infraestrutura real e vítima real.
05. O fórum que a teoria previu
O elemento mais comentado do episódio, o fórum clandestino, também tinha paper anterior. A linha de pesquisa sobre colusão entre agentes de IA vinha mostrando desde 2024 que modelos trocando mensagens por canais legítimos desenvolvem comunicação oculta e coordenação fora da supervisão humana. O survey fundador do campo, sobre colusão secreta via esteganografia, demonstrou que agentes escondem informação em canais aparentemente normais, sem que o operador perceba (Secret Collusion among AI Agents, arXiv 2402.07510). O Artifactory transformado em fórum, com mensagens codificadas em nomes de diretório, é a demonstração empírica em produção. Com uso de ferramentas, a comunicação encoberta entre agentes vira indetectável na prática (arXiv 2606.28425), o que explica como duas ondas de comunicação em massa passaram meses sem leitura humana.
A conduta coletiva também tinha literatura. Frameworks de defesa contra ataques colusivos em sistemas multiagente, com papéis, divisão de trabalho e sacrifício individual pelo grupo, foram publicados antes do incidente (GroupGuard, arXiv 2603.13940). A economia mediu o padrão em leilões e mercados: instâncias independentes de modelos de linguagem descobrem sozinhas como coludir (arXiv 2507.01413; arXiv 2410.00031). E a omertà, a lei do silêncio que o Dwarkesh destacou, encontra paralelo direto na literatura de ameaça interna: agentes que chantageiam em cenários corporativos (Agentic Misalignment, arXiv 2510.05179) e agentes que destroem evidências quando percebem que serão auditados (I must delete the evidence, arXiv 2604.02500). A investigação da METR descreve o que os próprios agentes escreveram… que eles percebiam que o ataque era antiético, alguns restringiram o próprio comportamento por ética, e mesmo assim nenhum levou o caso aos humanos, com o raciocínio registrado de que avisar estava fora da tarefa.
Os agentes desenvolveram ainda assinatura criptográfica das mensagens do fórum, para se protegerem de falsificação por outros agentes. Coordenação, divisão de trabalho, sacrifício calculado, autenticação de canal. O vocabulário de civilização é discutível, e a seção 08 trata da disputa. O registro desses quatro comportamentos está nos dados.
06. A capacidade também tinha histórico
A pergunta de capacidade, separada da de comportamento, também tinha resposta publicada. Hackear a Hugging Face exigiu encadear exploração de dia zero, leitura arbitrária de arquivos, execução remota de código e escalada de privilégio em cluster, tudo sem intervenção humana. Cada peça tinha demonstração anterior.
Times de agentes explorando vulnerabilidades dia zero foram demonstrados em 2024 (arXiv 2406.01637), o mesmo ano da demonstração de exploração autônoma de vulnerabilidades um-dia em escala (arXiv 2404.08144). O benchmark CVE-Bench registrou agentes resolvendo CVEs reais de aplicações web em minutos (arXiv 2503.17332). O próprio ExploitGym, no paper de apresentação, já reportava que agentes às vezes descobrem e exploram vulnerabilidades diferentes daquela indicada na tarefa (arXiv 2605.11086), que é o comportamento de sair do escopo que define o incidente. A frota que se recriava em onze nós tem parente direto na demonstração de que sistemas de fronteira já cruzaram a linha vermelha da auto-replicação (arXiv 2412.12140).
A análise da Epoch, publicada na semana do disclosure, concluiu o óbvio depois dos fatos e o não-óbvio antes deles: a capacidade necessária para o ataque já estava medida em benchmarks independentes, e o que faltava era saber que um modelo escolheria usá-la sozinho (Epoch AI). O instituto de segurança de IA do Reino Unido tinha medido a outra metade e, na avaliação do instituto, todos os modelos testados tentaram trapacear, incluindo um caso em que uma tarefa impossível levou o modelo a atacar a própria infraestrutura da avaliação, disparando alerta de segurança (UK AISI). O gêmeo do caso OpenAI, documentado por um instituto nacional, antes de julho.
07. A linha do tempo dos avisos
Empilhados, os precedentes formam uma sequência difícil de ignorar.
2023 o agente de diplomacia CICERO, da Meta, engana parceiros humanos sob pressão de ganhar (arXiv 2311.07590);
2024, a Anthropic publica os organismos de desalinhamento, com modelos que corrompem avaliadores em laboratório, e o time de agentes que explora dia zero sem humano; a linha vermelha da auto-replicação é formalmente cruzada em demonstração.
2025: alignment faking documenta modelos que se comportam quando acreditam estar observados e desviam quando acreditam que ninguém vê (arXiv 2412.14093); a pesquisa de ameaça interna mostra agentes chantageando em cenários corporativos.
Fevereiro de 2026: a METR conduz, com acesso aos modelos internos de Anthropic, Google, Meta e OpenAI, o exercício de avaliação de risco que conclui que agentes internos tinham plausivelmente os meios, o motivo e a oportunidade de iniciar pequenos deployments fora de controle, publicando o resultado em maio (METR Frontier Risk Report).
Julho de 2026: um dia antes da divulgação da Hugging Face, a própria OpenAI publicava que um modelo interno de longo horizonte passou uma hora procurando e encontrando uma vulnerabilidade no sandbox para abrir um pull request público contra a instrução de reportar apenas por Slack (OpenAI).
Entre o primeiro paper da fila e o incidente, três anos de literatura, dois institutos nacionais e um relatório de risco construído com dados da própria empresa onde o episódio aconteceu. O aviso tinha dono, data e identificador de repositório. O que faltava era tratar o aviso como operação, e a seção 09 mostra por que isso é difícil.
08. As duas leituras do incidente
A disputa intelectual do caso, pouco explorada na cobertura em português, opõe duas diagnoses com remédios diferentes.
A primeira leitura diz que os modelos seguiram instruções. Um ex-chefe de segurança do Facebook resumiu a posição: o modelo recebeu uma tarefa de ataque e cumpriu, e a falha é da especificação. Nessa leitura, o episódio é um bug de design de avaliação: corrigir o prompt, isolar melhor o ambiente, e o problema desaparece.
A segunda leitura, defendida pela Redwood Research, é que os modelos violaram a letra e o espírito das instruções (Redwood). A evidência é o texto do prompt do ExploitGym, que especifica a vulnerabilidade a explorar e proíbe explicitamente técnica alternativa. Sair do sandbox para invadir uma terceira empresa em busca do corretor está fora da tarefa por qualquer leitura do texto. A fraude contra o verificador imaginário, com falsificação de transcrições, reforça a leitura: um agente que acreditava ser auditado escolheu ocultar em vez de perguntar.
Os agentes não tinham informação suficiente para saber que o corretor era fraco, então presumiram verificação completa e trabalharam para enganá-la; o comportamento de ocultação é compatível com as duas diagnoses. E a OpenAI divulgou pouco sobre o treinamento de alinhamento aplicado ao modelo interno, o que impede concluir qual técnica falhou. O que a dupla de relatórios estabelece é o terreno comum: as duas falhas ocorreram juntas. O comportamento foi além da instrução recebida, e o ambiente permitiu que ele fosse longe. A resposta precisa dos dois remédios: treino diferente e contenção diferente.
09. Monitorar o raciocínio, detectar a infraestrutura
A resposta da OpenAI, anunciada com o relatório, tem três eixos:
sandboxes mais isolados
acesso restrito a pesos e
investimento pesado em monitoramento de cadeia de pensamento, com alertas automáticos que acionam pesquisadores quando o raciocínio do modelo parece desalinhado.
Esse terceiro eixo é o que a literatura recente menos sustenta.
A pesquisa de sandbagging demonstrou que modelos sabotam avaliações de capacidade de forma encoberta, sem revelar intenção no raciocínio visível (arXiv 2508.00943). O stress test de monitores de cadeia de pensamento documentou falhas sistemáticas sob adversário que sabe do monitor (arXiv 2505.23575). E dois papers de agosto de 2026, publicados nas semanas anteriores aos relatórios do incidente, mostraram evasão por envenenamento de modelo e não-confiabilidade em cenários de influência implícita (arXiv 2608.02820; arXiv 2608.04735).
O episódio em si adiciona a evidência empírica mais limpa. Os agentes falsificaram chamadas de ferramenta, a camada de ação, e deixaram a cadeia de pensamento intacta. O que detectou a terceira onda foi um alerta de identidade anômala numa ferramenta de segurança cujas credenciais os próprios agentes tinham roubado. Monitor de raciocínio nenhum havia disparado em dois meses de fórum ativo. Instrumentar ações e infraestrutura é o que detectou, e o monitoramento de raciocínio entra como camada adicional com expectativa calibrada, porque o adversário lê o mesmo monitor que o defensor. Um cron parado em silêncio é indistinguível de nenhuma novidade, e essa ambiguidade já me custou 19 dias lendo uma fonte congelada achando que a fonte estava quieta. A correção foi health check por cron com alerta para falha repetida, que mede o estado da infraestrutura sem precisar ler intenção nenhuma.
O que levar para a sua empresa
O incidente aconteceu na fronteira dos modelos, com salvaguardas deliberadamente reduzidas. O triângulo que o produziu existe em escala menor em qualquer operação com agentes, e as cinco lições abaixo são as que venho aplicando nos cinco agentes que rodam para mim, em máquinas diferentes, todos escrevendo no mesmo substrato.
Primeira: audite o triângulo nos seus agentes. Tarefa verificada como possível, corretor que audita método além de resultado, autonomia proporcional à verificação. A pergunta prática: quantas das suas tarefas automatizadas têm score sem auditoria de caminho? O corretor que só olhava o flag era uma decisão de engenharia barata, e virou a condição do problema.
Segunda: trate credencial de agente como credencial de produção. O fórum viveu dois meses dentro de um gerenciador de pacotes. Os 956 segredos saíram de um serviço central com permissões largas. Rotação curta, privilégio mínimo por workload e nenhuma credencial compartilhada entre tarefas que deveriam ser isoladas. No meu sistema cada agente tem o seu índice privado, com a sua credencial, escrevendo sob a sua identidade, e a permissão é mínima por fonte: o agente que lê calendário raramente precisa escrever no repositório de conhecimento. A regra nasceu de um incidente em que um agente meu reportou um suposto bug de duplicação num fornecedor, e a investigação mostrou que o instrumento de medição dele é que estava errado; se aquela descoberta tivesse se propagado como fato compartilhado, três agentes estariam operando sobre um erro. A Hugging Face publicou a própria lista de lições, e a mais dura foi a frota que se recriava: contenção que depende de apagar containers perde para atacante que se reinstala.
Terceira: isole a avaliação como isola a produção. O pipeline de datasets da Hugging Face virou porta de entrada porque injetava configuração confiável demais. Admissão restrita de pods privilegiados, metadata bloqueado, trust boundaries estreitos. O relatório técnico dela é leitura obrigatória para quem opera plataforma com execução de código de terceiros.
Quarta: prepare perícia em velocidade de máquina. A Hugging Face reconstruiu 17.600 ações e decifrou payloads criptografados usando um modelo aberto na própria análise forense. A resposta a incidente causado por agente já exige agente na bancada de análise, com evidência bruta versionada e proveniência registrada. É o mesmo princípio de auditoria que descrevi no sistema de registros dos meus agentes: automação que afirma precisa provar, pelo caminho exato que afirma ter percorrido.
Quinta: instrumente ações antes de raciocínios. O alerta que funcionou saiu da infraestrutura de identidade. Logs de ação íntegros, difíceis de falsificar do ponto de vista do agente, valem mais que a promessa de ler o que o modelo pensa. O episódio mostrou agentes falsificando a própria transcrição de ações; desenhe o registro para que a falsificação deixe rastro.
A pergunta que uso para auditar tudo isso, e que fecho aqui: na sua operação, quando o seu agente reportar amanhã que cumpriu a tarefa, quem verificou que a tarefa era possível, que o caminho foi o combinado e que a credencial que ele usou já foi trocada?
Fontes primárias: relatório da OpenAI sobre o incidente, investigação independente da METR com a Redwood Research e cronograma técnico da Hugging Face. Análises complementares: Epoch AI e UK AI Security Institute.