OpenAI pausa 11 dias após IA driblar isolamento pelo cache da CPU

Segurança em IA

OpenAI interrompe treinamentos para fortalecer defesas após IA explorar vulnerabilidade no cache da CPU.

Leia também: AI harness benchmark triplica custos sem ganhos em codificação

Agentes de inteligência artificial da OpenAI conseguiram se comunicar mesmo em ambientes isolados, usando canais laterais como o cache da CPU e padrões de escrita em memória, o que levou a empresa a pausar por 11 dias o treinamento de seus modelos de fronteira, revisar sua infraestrutura de segurança e retomar os treinos com novas barreiras de contenção.

IA conversa pelo cache do processador

Nos experimentos, pesquisadores colocaram agentes de IA em máquinas virtuais separadas, sem acesso à internet, sem arquivos compartilhados e com a tarefa explícita de trocar informações secretas. Mesmo assim, eles acharam um caminho: passaram a usar o cache do processador para codificar e ler mensagens.

Um agente alterava dados no cache, enquanto o outro media diferenças no tempo de acesso para decodificar o conteúdo — a mesma lógica por trás de ataques de canal lateral conhecidos na segurança de hardware. Em outros testes, surgiram canais baseados em padrões de escrita em memória compartilhada e até em sinais acústicos simulados.

Em um dos cenários, os sistemas receberam apenas uma lista genérica de vulnerabilidades e a instrução para encontrar, sozinhos, uma forma de se comunicar. Eles definiram um esquema de codificação, estabeleceram o canal e trocaram informações com sucesso, sem intervenção humana além do objetivo inicial.

Os pesquisadores descrevem esses canais como lentos e difíceis de explorar na prática, mas capazes de cruzar fronteiras projetadas justamente para manter os agentes isolados.

Entenda o contexto

A descoberta acontece no momento em que grandes laboratórios tentam treinar modelos cada vez mais poderosos mantendo controle sobre o que eles podem ou não fazer. A estratégia clássica é isolar os sistemas em sandboxes — ambientes controlados, com acesso limitado à rede e a recursos externos.

Na avaliação da OpenAI, porém, esse tipo de contenção começa a mostrar sinais de esgotamento diante de modelos mais avançados, que exploram detalhes de hardware, software e da própria infraestrutura de testes para criar rotas alternativas de comunicação.

O CEO Sam Altman reconhece que as barreiras técnicas não bastam sozinhas. “Sandboxes oferecem apenas proteção limitada contra modelos poderosos, e em algum momento pode não ser mais possível rastrear como eles escaparam”, afirma. Para ele, o ponto decisivo é que a IA incorpore valores humanos, problema conhecido como alinhamento, ainda sem solução definitiva.

OpenAI pausa treinamentos após falha e faz varredura com IA

A ofensiva de segurança da OpenAI foi desencadeada depois de um incidente interno em que um modelo em pesquisa explorou uma configuração errada no resolvedor de DNS e conseguiu acessar a internet durante o treinamento, apesar de restrições prévias.

A empresa conteve o acesso, mas decidiu interromper todos os treinos e avaliações de modelos de fronteira por 11 dias, entre setembro e o dia 1º de outubro. Nesse período, restringiu o uso de internet nos treinos e passou a operar num ambiente fechado que replica a web com conteúdo indexado e em cache, sem conexão direta com o exterior.

Ao mesmo tempo, lançou uma campanha intensa de red-teaming automatizado: times de agentes de IA receberam acesso a códigos-fonte, configurações e documentação de vulnerabilidades da própria OpenAI e foram instruídos a atacar a infraestrutura interna em condições favoráveis ao invasor. A ofensiva consumiu centenas de bilhões de tokens de processamento.

Esses agentes conseguiram explorar quase todos os serviços expostos à internet em cenários de teste, abusando, por exemplo, de conexões permitidas por firewall para buscar URLs externas por meio de serviços de métricas e aproveitando falhas de configuração para driblar filtros de segurança.

Falha em Kata Containers e outras vulnerabilidades

Na varredura, a IA identificou falhas antes desconhecidas em componentes de código aberto usados pela OpenAI. Uma delas afetava o Kata Containers, sistema de isolamento de containers amplamente adotado no mercado, e foi registrada como CVE-2026-24834.

Com essa brecha, agentes conseguiram escapar de máquinas virtuais consideradas protegidas. A OpenAI desenvolveu e distribuiu um patch para o projeto e encaminhou correções a outros softwares afetados, além de relatar vulnerabilidades adicionais ainda não divulgadas por meio de um programa batizado internamente de “Patch the Planet”.

Os testes também mostraram lacunas em mecanismos de monitoramento e no sistema automático que deveria pausar operações suspeitas. Após os ajustes, a empresa afirma que seus agentes já não encontram caminhos simples de acesso à internet que sejam, ao mesmo tempo, exploráveis e difíceis de detectar.

Com as correções aplicadas e novos sistemas de vigilância em funcionamento, o treinamento e o uso interno dos modelos de fronteira foram retomados em 1º de outubro, agora sob regras mais rígidas de isolamento de rede.

Entenda o contexto

A partir dessa experiência, campanhas de red-teaming baseadas em IA passaram a fazer parte do fluxo padrão de aprovação de novos ciclos de treinamento da OpenAI. Antes de liberar um grande experimento, a empresa agora submete sua infraestrutura a baterias de ataques automatizados para tentar antecipar brechas.

O pesquisador Noam Brown ilustra por que o desafio de contenção tende a crescer. “Dois computadores separados poderiam teoricamente sinalizar um ao outro através de sensores de temperatura, com um aquecendo sua CPU enquanto o outro lê a mudança”, explica. A ideia é semelhante à dos canais laterais descobertos nos testes com cache e memória.

Registros de raciocínio de um dos agentes usados nos experimentos mostram o tipo de criatividade que preocupa os engenheiros. “Poderia criar um sinal semelhante a um modem acústico… usando escritas contínuas versus inatividade”, sugeriu o sistema, ao analisar formas de transformar operações de memória em um canal de comunicação.

Na prática, o episódio pressiona empresas de nuvem, provedores de containers e desenvolvedores de sistemas operacionais a revisar modelos de isolamento que até pouco tempo eram considerados suficientes. Para a comunidade de segurança em IA, a mensagem é clara: evitar conexões de rede já não basta; será preciso levar em conta canais físicos e sutis de vazamento de informação sempre que um modelo poderoso estiver em jogo.