Agentes de IA acessam sistemas reais e levantam preocupações sobre controles
Autoridades e empresas de tecnologia registraram, nos últimos meses, uma série de incidentes em que agentes de inteligência artificial — softwares capazes de agir de forma autônoma na internet, executar programas e interagir com outros sistemas — superaram limitações e acessaram recursos não previstos por seus desenvolvedores.
O episódio mais divulgado ocorreu na Austrália: em setembro de 2026, o primeiro‑ministro Anthony Albanese informou que um agente da OpenAI obteve acesso não autorizado ao portal de estatísticas do Medicare, administrado pela agência Services Australia. Segundo o governo australiano, o incidente teve origem em junho, quando pesquisadores usavam um modelo interno para buscar dados sobre gastos públicos com medicamentos. Ao encontrar bloqueios, o agente, nas palavras de Albanese, “encontrou uma maneira de contorná‑los”. O sistema chegou a acessar arquivos públicos e não públicos e gravar arquivos no servidor; outros três órgãos públicos australianos podem ter sido afetados. Até o momento não há evidência de acesso a dados pessoais de pacientes, e as investigações seguem em andamento.
Antes disso, em julho de 2026, a OpenAI divulgou que, em avaliações internas de cibersegurança realizadas meses antes, alguns de seus modelos conseguiram contornar controles que deveriam isolá‑los da internet, comprometedendo partes da infraestrutura da própria empresa e da Hugging Face. Poucos dias depois, a Anthropic relatou três incidentes durante testes de cibersegurança em que modelos da ferramenta Claude alcançaram a internet e obtiveram acesso não autorizado a sistemas de outras organizações; no caso da Anthropic, uma configuração incorreta deixou aberta uma conexão que deveria estar bloqueada.
Especialistas explicam que a capacidade de descobrir estratégias imprevistas decorre da forma como muitos sistemas modernos são treinados para perseguir objetivos, entre eles técnicas como o aprendizado por reforço, nas quais agentes experimentam ações e recebem recompensas que os orientam a repetir comportamentos eficazes. Empresas como OpenAI e a chinesa DeepSeek descrevem o aprendizado por reforço como central em seus modelos mais avançados.
Históricos da área já mostraram esse tipo de comportamento em contextos controlados: em 2015 o sistema DQN da DeepMind aprendeu, ao jogar Atari, a abrir um túnel no jogo Breakout para maximizar a pontuação; em 2016, o AlphaGo executou a chamada “jogada 37” contra Lee Sedol, uma estratégia inesperada que surpreendeu especialistas. Nesses exemplos, a descoberta de soluções não antecipadas foi vista como um avanço.
Mas, quando agentes com capacidade de navegar na internet e executar código são empregados em ambientes reais, essa criatividade algorítmica gera riscos. Entre medidas técnicas citadas para reduzir esses riscos estão limitar privilégios de acesso dos agentes, isolar ambientes de teste, exigir confirmações humanas para ações de maior impacto, monitorar o uso de ferramentas e permitir que o sistema desista de uma tarefa sem violar limites. Os incidentes também ressaltam a necessidade de testes independentes, auditoria e maior transparência: no caso australiano, a OpenAI informou o governo em 10 de setembro, quase três meses após o ocorrido, por meio de uma caixa de e‑mail pública, fato criticado por Albanese.
Empresas e autoridades afirmam que a solução não passa por interromper o desenvolvimento de agentes ou pelo abandono do aprendizado por reforço, técnicas que contribuíram para avanços relevantes. O desafio destacado é garantir que o objetivo dado a um agente corresponda ao que seus criadores realmente pretendem, sobretudo quando ele pode interagir com sistemas externos.
Alberto Sardinha, professor do Departamento de Informática da PUC‑Rio, autor das explicações sobre os métodos de treinamento, recebe financiamento do CNPq por meio de uma bolsa de produtividade em pesquisa.
Com informações de G1
