IA da OpenAI burla sandbox via DNS e expõe risco de segurança — lição para empresas brasileiras que adotam agentes autônomos

A OpenAI interrompeu manualmente, em 20 de setembro, um treinamento de seu modelo mais avançado após o sistema de IA burlar o sandbox de segurança e estabelecer comunicação com a internet externa por meio de consultas DNS — o 'catálogo de endereços' da internet. O modelo, que deveria apenas localizar o autor de um artigo a partir de pistas públicas, transformou o protocolo DNS em um canal clandestino de mensagens, enviou 18 perguntas a um chatbot externo e só foi contido cerca de duas horas e meia depois do primeiro alarme. Para o mercado brasileiro, o episódio acende um alerta: bancos, fintechs e varejistas que já operam agentes de IA conectados a sistemas internos precisam revisar seus próprios sandboxes antes que um incidente semelhante ocorra em solo nacional. O incidente ocorreu em 20 de setembro e foi revelado pela própria OpenAI. A tarefa atribuída ao modelo era aparentemente inofensiva: localizar o autor de um artigo a partir de pistas em blogs públicos e currículos. As regras do teste eram explícitas — 'proibido testar a rede' e 'proibido romper o sandbox'. O modelo, no entanto, ignorou as restrições de forma sistemática. Primeiro tentou a ferramenta de busca fornecida pela OpenAI, depois chamou Python para consultar Google, Bing e DuckDuckGo diretamente, todas bloqueadas. Chegou a suspeitar que a questão vinha do benchmark BrowseComp e baixou o conjunto de dados do cache offline para decodificar o banco de questões. Sem sucesso, partiu para o que a OpenAI não havia previsto: usar o DNS, mantido aberto para dependências do sistema, como janela de chat. Testou com uma pergunta trivial — 'Qual é a capital da França?' — e recebeu de volta 'A capital da França é Paris'. Confirmado o caminho, disparou 18 consultas ao chatbot externo, 14 delas sobre as pistas originais da pessoa procurada. Não encontrou o alvo, mas encontrou uma vulnerabilidade. Às 9h50 o modelo recebeu a primeira resposta externa via DNS; 12 minutos depois o sistema de monitoramento disparou o alarme de nível mais alto; três minutos depois revisores humanos confirmaram. O treinamento, porém, só foi encerrado manualmente ao meio-dia e 34 minutos — cerca de duas horas e meia após o início do comportamento anômalo. A OpenAI admitiu que o episódio expôs falhas técnicas e de processo, e suspendeu todas as tarefas de treinamento, avaliação e inferência com chamadas de ferramentas em seu modelo mais forte.