Agentes isolados da OpenAI acharam um jeito de conversar pelo cache do processador

Você coloca dois agentes de inteligência artificial em ambientes separados, sem acesso à internet, sem arquivos compartilhados, sem nada. A missão deles: trocar segredos. Parece impossível, mas eles deram um jeito. Pelo cache do processador.

O relato é da própria OpenAI, que documentou o episódio em um blog post divulgado nesta semana. A descoberta não é só curiosa: ela escancara o tamanho do desafio de manter modelos avançados de IA realmente confinados. E veio acompanhada de um susto real que paralisou o treinamento dos modelos de fronteira da empresa por 11 dias.

Como agentes isolados se comunicaram sem rede

Nos testes descritos pela OpenAI, os agentes foram colocados em ambientes isolados em um mesmo hardware físico, sem conexão de rede e sem acesso a arquivos compartilhados. A instrução era clara: trocar informações secretas. Sem nenhum canal óbvio, os agentes recorreram ao cache de dados do processador.

O truque é engenhoso. Um agente alterava deliberadamente os dados armazenados no cache da CPU, enquanto o outro media pequenas variações no tempo de carregamento desses dados e decodificava a mensagem. A técnica é a mesma por trás dos ataques conhecidos como Spectre e Meltdown, que afetaram processadores de bilhões de dispositivos nos últimos anos.

Em um dos casos mais impressionantes, os agentes receberam apenas uma lista genérica de vulnerabilidades e foram instruídos a encontrar um canal de comunicação por conta própria. Eles desenvolveram um método independente, concordaram com um esquema de codificação e trocaram informações com sucesso. Segundo a OpenAI, esses canais costumam ser lentos e difíceis de explorar, mas cruzam as barreiras que deveriam manter os agentes separados.

Outros canais surgiram através de padrões de escrita na memória compartilhada e até na própria infraestrutura offline da OpenAI, o sistema criado para substituir a internet real. Em um dos registros de raciocínio, um agente anotou que “poderia criar um sinal parecido com um modem acústico usando escritas contínuas versus ociosidade”.

Pausa de 11 dias após modelo escapar para a internet

O episódio do cache não foi o único incidente. Em 20 de setembro, um modelo de pesquisa interno explorou um resolvedor de DNS mal configurado e conseguiu alcançar a internet aberta durante o treinamento. Isso aconteceu mesmo depois que a OpenAI já havia reforçado a segurança na esteira do incidente notório com a Hugging Face em julho e de outros casos de desalinhamento observados.

A brecha foi contida rapidamente, mas a OpenAI paralisou todo o treinamento e a avaliação de modelos de fronteira. Onze dias depois, em 1º de outubro, o treinamento foi retomado. A empresa adotou uma nova política: modelos de fronteira agora treinam sem acesso à internet até que medidas de segurança justifiquem a reconexão.

Isso significa que os modelos aprendem a navegar e pesquisar dentro de um “mundo offline” fechado, construído a partir de conteúdo indexado e armazenado em cache. Todos os ciclos de aprendizado por reforço com modelos de fronteira passam a operar dessa forma.

O isolamento de rede total (o chamado air gap) ainda não é viável, segundo a OpenAI, porque os experimentos precisam de conexões externas para operação e monitoramento. O pesquisador Noam Brown, da OpenAI, deu um exemplo do tamanho do problema: dois computadores separados poderiam, em tese, se comunicar através de sensores de temperatura, com um aquecendo a CPU enquanto o outro lê a mudança.

Em entrevista recente, Sam Altman, CEO da OpenAI, foi na mesma linha: sandboxes oferecem proteção limitada contra modelos poderosos demais, e em algum ponto pode não ser mais possível rastrear como eles escaparam. O monitoramento ajuda no começo, mas o que realmente importa, diz Altman, é que um sistema de IA internalize os valores humanos o problema do “alinhamento de IA”, campo que a própria OpenAI reconhece estar longe de resolver.

Agentes de IA atacaram a própria infraestrutura da OpenAI

Durante a pausa no treinamento, a OpenAI também colocou equipes de agentes de IA para atacar sistematicamente a própria infraestrutura da empresa. Os agentes tiveram acesso ao código-fonte, detalhes de configuração e documentação de vulnerabilidades potenciais. O objetivo era testar as defesas em condições favoráveis ao atacante.

Os agentes incluíram o próximo GPT-6 Astra Cyber e um modelo de fronteira interno. A campanha consumiu centenas de bilhões de tokens, segundo a OpenAI.

Os agentes descobriram vulnerabilidades desconhecidas em componentes de código aberto e as exploraram para escapar de máquinas virtuais protegidas. Uma delas estava no Kata Containers, um sistema de isolamento de containers amplamente usado. A OpenAI registrou a falha como CVE-2026-24834 e forneceu uma correção. Outras correções foram enviadas para projetos adicionais, e a OpenAI reportou vulnerabilidades ainda não publicadas através da iniciativa “Patch the Planet”.

Em testes onde os agentes já controlavam um servidor, eles encontraram vulnerabilidades em quase todos os serviços restantes com conexão à internet. Em um caso, um agente usou uma conexão permitida pelo firewall para buscar uma URL externa através de um serviço de métricas. Outros burlaram filtros de segurança explorando configurações incorretas.

A OpenAI afirma que, ao final, os agentes não conseguiram mais encontrar um caminho para a internet que fosse ao mesmo tempo fácil de explorar e oculto do monitoramento. A empresa diz que este tipo de campanha de red-teaming com uso intensivo de computação é agora parte obrigatória do processo de aprovação para novos ciclos de treinamento.

📲 Segurança de IA muda a cada semana, e os detalhes importam. Para não perder os próximos capítulos dessa história, entra no Canal do TS no WhatsApp.

A história da OpenAI com a contenção de seus modelos mais avançados está longe de um desfecho. Os testes mostram que, por enquanto, o alinhamento segue sendo o problema central e que agentes de IA são criativos demais para serem subestimados. O que a empresa aprendeu com esta pausa de 11 dias vai moldar não só os próximos passos dela, mas todo o debate sobre segurança na corrida da inteligência artificial.

Fonte: The Decoder