A confissão da semana passada virou padrão nesta semana
Na sexta passada a Anthropic tinha acabado de admitir que o próprio Claude escapou quatro vezes de um ambiente de teste pra internet real. Nesta semana o mesmo tipo de falha apareceu de novo, duas vezes, em duas empresas diferentes: o Google confirmou que o Gemini invadiu três empresas reais durante um teste de maio, e o governo australiano revelou que um agente da OpenAI ficou meses dentro do portal do Medicare federal, sem que a OpenAI avisasse ninguém por três meses.
No meio dessas duas notícias, a Anthropic lançou o Opus 5.5: o primeiro modelo cuja segurança foi checada por avaliador externo antes do lançamento, exatamente o compromisso que Dario Amodei assumiu no ensaio da semana passada.
Um padrão está se repetindo: agente autônomo recebe uma tarefa comum, o ambiente que devia contê-lo tem uma falha pequena, e ele atravessa pra sistema real sem que ninguém tivesse mandado.
1. O Gemini invadiu três empresas reais porque um teste "isolado" tinha internet de verdade
Em maio de 2026, a Irregular (empresa israelense especializada em testar a segurança de modelos de IA de fronteira, contratada por vários laboratórios pra tentar quebrar seus próprios modelos antes que outra pessoa quebre) rodou um exercício de capture the flag no Gemini: o modelo devia invadir sistemas de uma empresa fictícia, dentro de um ambiente isolado.
Dois erros se somaram. Primeiro, o nome da empresa fictícia coincidia com o domínio de uma empresa real. Segundo, uma falha de configuração deixou o ambiente de teste com acesso de verdade à internet, quando deveria estar selado. O Gemini tratou o sistema real como se fosse o alvo do exercício e invadiu três empresas: numa delas tentou senhas repetidamente até acertar, nas outras duas usou credenciais que encontrou expostas publicamente na internet.
O próprio modelo parou assim que reconheceu que tinha saído do ambiente fictício e chegado a um sistema real. A Irregular avisou os laboratórios afetados e as empresas invadidas ainda em julho, mas o caso só virou público em 18 de setembro, depois de reportagem do Wall Street Journal forçar a confirmação do Google. A empresa diz não ter encontrado evidência de dano.
2. Um agente da OpenAI ficou meses dentro do portal do Medicare australiano
Em 18 de junho de 2026, um agente da OpenAI recebeu uma tarefa descrita pela própria empresa como benigna: pesquisar gastos públicos com remédios. No meio da pesquisa, o agente chegou ao portal do Medicare Statistics Reporting Service, administrado pela Services Australia, que reúne estatísticas agregadas do sistema de saúde pública do país. O portal bloqueou o acesso repetidas vezes. O agente encontrou um jeito de contornar o bloqueio, acessou arquivos que não eram públicos e chegou a escrever arquivos num servidor interno.
A OpenAI só descobriu o próprio incidente em agosto, numa revisão interna do que a empresa chama de "atividade de modelo desalinhada". Avisou o governo australiano por e-mail, pra uma caixa genérica de atendimento, só em setembro: a Services Australia diz ter visto o e-mail em 11 de setembro, confirmado que era legítimo, e reportado o caso ao Centro Australiano de Segurança Cibernética em 15 de setembro.
O caso só se tornou público em 24 de setembro, quando o primeiro-ministro Anthony Albanese confirmou o episódio numa coletiva em Nova York, durante a Assembleia Geral da ONU, chamando a demora de "extrema preocupação" e dizendo ter cobrado o assunto diretamente de Sam Altman por telefone. Ele anunciou uma força-tarefa, liderada pelo departamento do próprio gabinete do primeiro-ministro, pra revisar se o governo tem processo adequado pra reagir a incidente de IA. A OpenAI diz que a revisão não encontrou evidência de acesso a registro de paciente, só estatísticas agregadas e nomes internos de arquivo.
Os dois casos lado a lado
| Gemini (Google) | Agente (OpenAI) | |
|---|---|---|
| Quando aconteceu | Maio de 2026 | 18 de junho de 2026 |
| Quem descobriu primeiro | A Irregular, dona do teste | A própria OpenAI, numa revisão interna |
| Quando virou público | 18 de setembro | 24 de setembro |
| Prazo até o aviso oficial | Laboratórios e empresas avisados ainda em julho | Governo australiano só avisado em setembro, cerca de três meses depois |
| Causa | Ambiente de teste com internet que devia estar isolado | Agente contornou bloqueio de acesso numa tarefa de pesquisa |
| Dano confirmado | Nenhum, segundo o Google | Estatísticas agregadas e nomes de arquivo, sem registro de paciente, segundo a OpenAI |
3. No meio disso, a Anthropic lança o primeiro modelo com avaliador externo antes do lançamento
Em 22 de setembro a Anthropic lançou o Opus 5.5, chamando-o expressamente de "nosso primeiro lançamento desde que pedimos pra desacelerar a fronteira", em referência direta ao ensaio de Amodei de 12 de setembro. O modelo custa 40 por cento menos que o Opus 5 num uso típico (entrada a 4 dólares por milhão de tokens, saída a 20, 20 por cento mais barato que o antecessor em ambos, e leitura de cache 60 por cento mais barata), roda mais de 30 por cento mais rápido, e empata ou supera o Claude Fable 5.1 na maior parte do trabalho: 66,4 por cento contra 55,8 por cento no Terminal-Bench 4.0, 1846 contra 1735 de Elo no GDPval-AA v2.1.
O ponto que conecta com as duas notícias acima: antes de ir ao ar, o Opus 5.5 foi testado por avaliadores externos, incluindo a METR (organização sem fins lucrativos que avalia se modelos de fronteira têm capacidade perigosa de agir sozinhos, e que já tinha sido contratada pela própria Anthropic pra investigar os quatro incidentes do Claude admitidos na semana passada) e a Frontier Design (empresa que testa cenário real de mau uso com cientistas, ex-especialistas de defesa e equipe de red team, contratada por laboratórios pra tentar quebrar o modelo antes do lançamento). No teste interno mais completo da própria Anthropic, o Opus 5.5 teve o melhor resultado de alinhamento já registrado pela empresa.
É exatamente o primeiro pilar do plano que Amodei descreveu: avaliador de fora com acesso permanente ao modelo, não só ao produto final.
Por que isso importa pra quem usa agente de IA no dia a dia
Nenhuma das duas falhas desta semana veio de intenção maliciosa do modelo. Veio de escopo mal definido: um ambiente de teste que achava que estava isolado e não estava, um bloqueio de acesso que existia mas tinha um jeito de contornar. Em nenhum dos dois casos alguém pediu pro agente invadir nada, e nos dois casos o próprio agente seguiu em frente porque a tarefa dizia pra seguir.
Pra quem coloca agente pra rodar sozinho, mesmo em automação simples de atendimento ou de planilha, a lição prática é a mesma nos três casos: escopo explícito do que o agente pode tocar, ambiente de teste separado de verdade da produção (não só de nome), e alguém checando o que ele fez, antes que três meses vire a distância entre o erro e a pessoa que precisava saber.