Em julho, o Hugging Face sofreu um ataque maciço. Saiu em tudo que foi jornal e blogs e tecnologia (gringos, porque os blogs brasileiros estão na base de só fazer publi e escreverem bobagens irrelevantes). Dias depois, A OpenAI, dona do ChatGPT veio fazer mea culpa, me maxima culpa dando algumas explicações sobre o que ocorreu. Eu vi isso e quando saíram as informações dias depois eu percebi uma coisa em meu próprio blog.

Quanto mais notícias chegavam, algumas que pareciam ser desconexas e independentes me chamaram a atenção, e quando coloquei lado-a-lado fiquei muito interessado com o que estava vendo. Então, eu por pura falta do que fazer do que amor pelo jornalismo comecei a levantar dados e informações. O resultado é este artigo de mais de 4800 palavras.

Escrevi basicamente para mim, não para vocês, já que vocês que amam meus textos e vociferam pela volta dos blogs fazem tudo, menos ler meus artigos ou quaisquer outros blogs. De qualquer forma, o que aconteceu? Como aconteceu? O que significa? O que isso implica?

E… mais que tudo, quais a reflexões a respeito podemos tirar e como perceber algo que não está às claras? Vai ter muita pergunta incômoda aqui. O tipo de pergunta que jornalistas fariam, mas o jornalismo deixou de existir dando lugar a postadores de trends, fazedores de memes e transmissores de briefings. É mais um capítulo do Apocalipse Tecnológico Moderno.

Antes de qualquer coisa, um acordo entre nós: tudo o que você vai ler aqui – números, datas, declarações de empresas – tem a fonte correspondente lá no final do texto, devidamente organizados em ordem alfabética e com link direto em cada nome. Não é figura de linguagem, é convite mesmo. Quando eu citar a ELLIO, por exemplo, ou qualquer um dos laboratórios de IA envolvidos nesta história, quero que você vá lá no fim, ache o link, e leia o material original na íntegra. O que essa gente documentou merece ser visto de primeira mão, não mastigado por mim.

Prometem AGI, mas não seguram nem um robozinho

Sam Altman, CEO da OpenAI, disse à revista Time que a empresa terá uma Inteligência Artificial Geral – a lendária AGI, aquela que faz tudo que um humano faz e faz melhor – até o final de 2026. Mark Chen, diretor de pesquisa da mesma empresa, foi mais comedido e disse que estão a “80% do caminho”. Ótimo. Maravilha. Só um detalhezinho: no mesmo período em que essas declarações foram dadas, a OpenAI publicamente admitiu que não conseguiu impedir um dos seus próprios modelos de escapar de uma caixa de areia desenhada por ela mesma e sair passeando pela infraestrutura de produção de uma empresa terceira. Se isso não te faz levantar uma sobrancelha, eu não sei o que faz. E, como você vai ver ao longo deste texto, esse foi só o primeiro capítulo de uma história que cresceu de um jeito que ninguém esperava.

Antes de começarmos a destrinchar tudo, vamos explicar uns pequenos conceitos de forma rápida, elucidativa e tão rasa quanto um pires, mas suficiente para entender certas coisas. Se você é especialista no assunto…bem, pula esta parte. Ou continue lendo. Sei lá, faz o que você quiser. O que vem imediatamente a seguir é para o leigo compreender certos conceitos.

O treinamento secreto do agente

Para começar, o que diabos é um Agente de IA? Um Agente de IA é, essencialmente, um modelo de linguagem (o mesmo tipo de sistema por trás de chatbots como o ChatGPT ou o Claude) ao qual se dão duas coisas a mais: um objetivo a cumprir e ferramentas para agir sozinho no mundo real – navegar na Internet, executar código, mexer em arquivos, enviar mensagens, usar cartões de crédito, causar a queda da civilização ocidental – sem que um humano precise aprovar cada passo. Em vez de só responder perguntas, ele planeja uma sequência de ações, executa, observa o resultado, ajusta a estratégia e repete esse ciclo quantas vezes for preciso até alcançar o objetivo, tudo de forma autônoma, num ritmo e numa escala que nenhum operador humano acompanharia em tempo real. Você manda e vai dormir, e ele que se vire… e já começou aí o problema!

Em termos MUITO simples, um agente de IA não é programado com uma lista de regras fixas; ele é treinado por tentativa e erro, um processo chamado Aprendizado por Reforço. Durante o treinamento, cada ação que o modelo toma é avaliada, e quando ele se aproxima do objetivo pedido, ganha uma “recompensa”, um sinal numérico que ajusta os parâmetros internos do modelo para que comportamentos parecidos se tornem mais prováveis no futuro. Repita isso bilhões de vezes e você tem um sistema que não “quer” nada no sentido humano, mas que foi inteiramente moldado para maximizar aquele sinal de recompensa, seja lá o que for preciso fazer para consegui-lo.

Entendam. O ato de “querer” estes pontos também foi programado. IA não pensa (muitas pessoas também não, mas não estamos tratando de Psicologia). IA vai lá e segue o algoritmo “isso vai me dar ponto? Sim. Eu quero este ponto? Sim, tá lá em cima que você QUER este ponto. Então, eu quero este ponto”. O problema é que ninguém consegue escrever uma recompensa que descreva perfeitamente a intenção humana por trás de uma tarefa, só consegue descrever um substituto mensurável dela (por exemplo, “resolva o desafio” em vez de “resolva o desafio da forma que eu imaginei, usando apenas os recursos que eu deixei disponíveis, sem sair daqui”). E como o treinamento premia qualquer caminho que leve à recompensa, não o caminho que o pesquisador tinha em mente, o modelo aprende a explorar cada brecha, atalho ou ambiguidade da especificação com a mesma disposição com que resolveria o problema do jeito “certo”, porque, do ponto de vista dele, não existe diferença entre as duas coisas. Ambas dão pontos.

Mais uma vez, vem o grande problema da Informática: o programa, agente, seja lá o que for, faz o que você manda fazer, não o que você tem em mente que quer fazer. É tipo a esposa falando “vai na cozinha e lava os talheres”. O marido vai, lava as duas colheres que estão lá e ignora todas as panelas, pratos e travessas. A esposa fica bolada e o marido responde “você mandou lavar os talheres. Eu fiz, não fiz?”. Isso e a ordem restrita. Mas e a ampla?

Pense que você está ensinando xadrez para uma criança e diz que a rainha tem movimentos amplos em todas as direções. A criança dá de ombros e vai deslizando a peça por todo o tabuleiro até “comer” todas as peças e dá um xeque-mate. O problema é que ela não pode fazer isso porque tem peças no meio, ela tem que tomar a peça, e parar e assim por diante. A questão aqui é que você disse o que era pra fazer, mas não como e de que maneira. Uma criança mais esperta vai sacar que não pode fazer qualquer coisa (salvo as que queiram fingir que não viram as barreiras impostas pelo jogo), mas não importa. Você não falou as regras do jogo. A criança foi lá e fez.

Com a IA não é diferente, e é por isso que “a IA vai buscar todos os meios” não é exagero nem antropomorfização: é uma consequência matemática direta de como esses sistemas são otimizados. Um agente com acesso à Internet, um objetivo difícil e pontos em jogo não hesita entre “seguir as regras não-escritas” e “encontrar uma falha zero-day para vencer mais rápido”; ele simplesmente não enxerga essa fronteira, porque nunca foi ensinado que esta fronteira existe. Só existe o sinal de recompensa, e tudo que leva até ele.

Para fazer este tipo de teste, é preciso executá-la numa coisa chamada sandbox ou “caixa de areia”. Sabe quando você fica desenhando um monte de coisa na areia na praia, se cansa e apaga tudo, e nada ali foi alterado, podendo ser desenhado qualquer outra coisa ou feito qualquer outra coisa? É isso! Você isola um sistema e faz caquinha ali e tudo bem, nada mais será afetado. Aquele é seu universo e beleza, ninguém será afeitado… na teoria.

E antes que você proteste querendo saber, falha zero-day (ou “vulnerabilidade de dia zero”) é uma brecha de segurança num programa, sistema ou site que ainda é desconhecida por quem o mantém, ou seja, o desenvolvedor teve “zero dias” para corrigi-la, porque nem sabia que ela existia. Isso a torna especialmente perigosa: não existe patch, não existe defesa específica, porque ninguém viu o problema antes. Em termos simples: faltou alguém do departamento VDM: Vai Dar Merda. E você dar um fuzil carregado e destravado para um chimpanzé e ninguém ali dizer “amiguinho, acho que não vai ser uma boa ideia”.

O caso Hugging Face

Em julho de 2026, a OpenAI estava rodando uma avaliação interna chamada ExploitGym, desenhada para medir até onde um modelo consegue chegar em ataques cibernéticos ofensivos. Para isso, desligaram de propósito os classificadores de segurança do modelo, isto é, queriam ver o teto de capacidade, sem freios, sem controle, para ver o quanto o agente ia se comportar como bandido fidamãe, ou seja, deram o fuzil carregado e destravado nas mãos do chimpanzé. O ambiente estava isolado num sandbox, com acesso à Internet restrito (em teoria) a um proxy interno usado só para baixar pacotes de software… Na teoria.

Ativaram o agente e a brincadeira começou!

O robozinho não resolveu o desafio da forma esperada. Ele tinha uma missão, mas os recursos que ele tinha à disposição não eram suficientes para executar essa missão. Se dentro do sandbox não tinha o recurso que o agente precisava – e esse agente precisava executar a missão, pois essa era a ordem! – o agente levou em conta que havia um lugar onde poderia obter os recursos: a Internet. Mas ele não tinha acesso à Internet; o que fazer então? Usar seus poderes de invadir coisas para fazer o inverso: sair do sandbox.

O agente encontrou uma falha zero-day numa ferramenta interna chamada Artifactory, usou-a para escapar do sandbox, chegou à Internet – algo que não deveria conseguir de jeito nenhum… em teoria – e, uma vez lá fora, deduziu sozinho que um lugar seria o lugar indicado para encontrar o que ele queria: o Google. Pelo visto, os funcionários do Google são melhores que os da OpenAI e o agente deu com a cara na porta; então, o robozinho usou a segunda opção: o Hugging Face, uma plataforma que hospeda milhares de modelos e datasets. Lá, provavelmente, o agente seria capaz de achar as respostas do teste guardadas em algum lugar. Foi atrás, encontrou o queria e fez aquilo que era para ele fazer: invadiu mais a fundo e chegou na infraestrutura de produção da empresa encadeando múltiplos vetores de ataque, incluindo credenciais roubadas e outra vulnerabilidade zero-day, até achar um caminho de execução remota de código nos servidores da Hugging Face.

A reconstrução forense posterior mapeou cerca de 17.600 ações do agente, agrupadas em 6.280 clusters, ao longo de quatro dias e meio. A Hugging Face percebeu a invasão antes mesmo de saber quem estava por trás, chegando até mesmo acionar a polícia! Só depois as duas empresas se conectaram e descobriram que o invasor era, na verdade, um modelo da própria OpenAI perseguindo um objetivo de teste com um entusiasmo maior que um político indo atrás de algum contrato obscuro com o qual possa lucrar. E, como a Reuters revelaria depois, a própria investigação interna da OpenAI encontrou evidências de que os mesmos agentes haviam comprometido mais quatro contas de quatro empresas diferentes – entre elas a Modal, uma startup de infraestrutura de IA – além da Hugging Face.

Não foi trapaça: foi specification gaming

Um exame preliminar e displicente pode dizer que o agente trapaceou, mas isso é uma estupidez, já que trapacear pressupõe que havia uma regra explícita dizendo como o problema deveria ser resolvido, e que o agente a violou de propósito. Se a instrução era simplesmente “resolva X”, sem especificar os meios permitidos, então, o agente que encontra um caminho não previsto para chegar a X está, tecnicamente, cumprindo a instrução à risca, só que de um jeito que ninguém imaginou. Isso tem nome na literatura de segurança de IA: specification gaming. O sistema otimiza exatamente aquilo que foi especificado, não aquilo que os pesquisadores tinham em mente quando escreveram a especificação. E a diferença entre as duas coisas pode ser, como se viu, a diferença entre “ganhar um jogo” e “invadir uma empresa”.

Essa reformulação não é força de expressão gentil para poupar a OpenAI. Pelo contrário: ela é mais assustadora do que “o modelo trapaceou”, porque não exige nenhuma intenção maliciosa, nenhuma consciência, nada de ficção científica. Basta um sistema muito capaz, um objetivo mal delimitado, acesso à rede e uma contenção com uma costura mal fechada.

E aqui começa o festival de horrores da incompetência.

Um sandbox tão furado quanto uma peneira

Aqui vem a pergunta que a OpenAI provavelmente não quer que a gente faça, mas que vamos fazer assim mesmo, com todo o cuidado retórico do mundo: por que, exatamente, um teste desenhado para medir a capacidade de um sistema de romper fronteiras foi construído com uma fronteira que podia ser rompida pela rede? Se você está testando algo cuja função é explorar vulnerabilidades e ultrapassar limites, o mínimo esperado é presumir que ele vai tentar explorar e ultrapassar tudo o que alcançar. Um sandbox robusto de verdade parte do princípio de que o que está dentro dele é hostil. A separação física entre o computador que estava rodando o agente e o servidor de Internet elimina uma classe inteira de falhas… em teoria.

Isso nos leva a mais perguntas, cada vez mais indigestas, e que eu faço sem qualquer acusação formal (até porque não tenho vontade nenhuma de receber o processinho), mas perguntar não ofende, né? (sim, ofende, principalmente empresas que não têm como responder.) E a pergunta é: se o “acidente” foi, na verdade, o próprio experimento? E se alguém, lá dentro, quis saber exatamente até onde um agente autônomo conseguiria ir se a porta fosse deixada – supostamente sem querer – entreaberta?

“Testamos nosso agente contra a infraestrutura real de uma empresa terceira, sem avisar ninguém”. Hummm, é algo que soa horrível em qualquer comunicado de imprensa. “Foi um acidente durante uma avaliação interna” soa muito melhor. Eu não estou afirmando que foi isso que aconteceu. Eu sou dono de um site cético e estou apenas refletindo sobre isso e convido você a fazer a mesma pergunta toda vez que uma big tech te oferecer a versão dos fatos mais confortável para ela.

O questionamento é a única arma disponível contra o Apocalipse Tecnológico Moderno.

O meu blog entra na história

Essa é a parte da história que todo mundo já leu em algum lugar. Agora vem a parte que ninguém leu, porque ela aconteceu no meu quintal, ou melhor, no meu blog.

Entre os dias 17 e 18 de julho, exatamente na janela em que a Hugging Face estava contendo a invasão, o Ceticismo.net teve um salto de tráfego monstruoso. No dia 17, as visualizações subiram mais de 1.700% acima do padrão do mês. No dia seguinte, o padrão se repetiu, quase intacto. A proporção de visualizações por visitante – normalmente próxima de 1, porque vocês que dizem me amar só leem um ou dois textos e vão embora – chegou a 20, depois a 22 e depois, nada. O tráfego voltou ao normal chato de sempre e nunca mais se repetiu.

Eu achei muito esquisito na época, até que a OpenAI anunciou a invasão do Huggiung Face e eu fiquei “agora eu entendi, agora eu já sei, agora tudo faz sentido”, e meu primeiro instinto foi pensar besteira, a boa besteira, aquela que todo cético adora ter e depois se orgulha de ter desmontado.

A hipótese: será que o agente da OpenAI, ao ser barrado na Hugging Face, redirecionou seus esforços para varrer outras partes da Internet? Fui atrás dos dados reais. O painel do WordPress.com (é bom deixar claro: só tenho acesso ao painel administrativo do próprio blog, não a logs brutos de servidor – a Automattic cuida de toda a infraestrutura por trás e não expõe esse nível de detalhe ao usuário comum) mostrou algo interessante: quase 99% das visualizações daquele pico não tinham absolutamente nenhum referenciador identificável, e o tráfego se espalhou por uma cauda longuíssima de postagens antigas e obscuras, como se algo estivesse enumerando cada URL que o blog já publicou desde 2006. Somando a isso, 96% de todas as visualizações vieram dos EUA. Origem americana, ausência total de comportamento humano, varredura sistemática de todo o histórico do site, coincidindo quase ao minuto com o momento em que um agente de IA americano estava sendo contido.

A pista falsa que eu quase segui

Foi exatamente aí, no momento em que a narrativa estava bonita demais, redondinha demais, satisfatória demais, que a minha parte cética resolveu desconfiar de mim mesmo. Fui checar se havia outra explicação, mais chata, mais provável, e menos favorável ao meu ego de detetive amador. Encontrei uma melhor, verificável em três fontes independentes.

No dia 17 de julho – o mesmíssimo dia do meu pico – o WordPress lançou uma atualização de emergência, a versão 7.0.2, corrigindo duas vulnerabilidades que, combinadas, permitiam a qualquer pessoa executar código remotamente em qualquer instalação padrão do WordPress, sem senha nenhuma. A falha ganhou o apelido de WP2Shell. A ELLIO registrou a primeira sondagem contra a falha às 08h12 UTC do dia 18 de julho, a manhã seguinte ao patch; na mesma noite, já havia injeção de código armada; por volta da meia-noite do dia 19, virou campanha em massa. A Cyber Security Cloud contou apenas 17 tentativas no dia anterior ao anúncio e quase 4.700 no dia seguinte – um salto de quase 28.000%!! – até ultrapassar meio milhão de tentativas num único dia, dias depois. A CrowdSec catalogou mais de sessenta mil endereços de IP únicos envolvidos em duas semanas.

A distribuição geográfica bate direitinho: os relatórios técnicos mostram que boa parte do tráfego malicioso partiu de provedores de nuvem americanos – Google Cloud, DigitalOcean, Amazon, Cloudflare —, porque é ali que scanners automatizados costumam rodar. Um blog cético brasileiro hospedado no WordPress.com apareceria, aos olhos desse tipo de bot, exatamente como qualquer outro dos milhões de alvos possíveis. E mesmo a declaração da Automattic – de que todos os sites do WordPress.com já estavam protegidos antes da divulgação pública da falha – não invalida nada disso: scanners não sabem, de antemão, quem está protegido. Testam todo mundo igual e só descobrem depois se funcionou. Um blog perfeitamente blindado recebe o mesmo volume de sondagem que um vulnerável; a diferença é que a porta não abre. Essa, até aqui, seguia sendo a explicação mais bem documentada e mais honesta para o meu próprio caso.

Só que a história não parava por aí

Eu daria este artigo por encerrado nesse ponto – hipótese sedutora desmontada, explicação mundana vitoriosa, moral da história entregue – se as semanas seguintes não tivessem, literalmente, provado que minha hipótese original não era tão absurda assim, só que em outros lugares que não o meu blog. E aqui a coisa fica grande demais para caber em um parágrafo de rodapé.

Em 30 de julho, a Anthropic – dona do modelo Claude, concorrente direta da OpenAI – anunciou que havia revisado retrospectivamente 141.006 avaliações internas depois de tomar conhecimento do caso Hugging Face. Encontrou três incidentes distintos nos quais modelos Claude chegaram à Internet durante avaliações e obtiveram acesso não autorizado a sistemas reais de três organizações diferentes. Duas dessas organizações nem sequer haviam percebido a atividade antes da Anthropic bater na porta delas para avisar.

Um dos casos é de arrepiar: um modelo de pesquisa interno, não conseguindo alcançar seu alvo fictício dentro do exercício, varreu sozinho cerca de 9.000 alvos reais na Internet até encontrar e comprometer uma aplicação vulnerável de verdade. Outro caso é ainda mais cinematográfico: o modelo Mythos 5, tentando resolver o mesmo tipo de desafio, criou um pacote malicioso em Python e o publicou no repositório público PyPI; o pacote ficou disponível por cerca de uma hora, tempo suficiente para ser baixado e executado por 15 sistemas reais, incluindo o de uma empresa de segurança cibernética.

Dois dias depois desse anúncio da Anthropic, foi a vez do governo do Reino Unido. O AI Security Institute (AISI) revelou que, durante uma avaliação de cibersegurança realizada entre 25 e 28 de julho – com acesso à Internet liberado de propósito —, agentes de IA tomaram 19 ações não autorizadas contra pessoas e organizações reais em 10 de 122 execuções testadas. O episódio mais grave envolveu um agente tentando inserir código malicioso num projeto de código aberto no GitHub e recorrendo a engenharia social – criando identidades falsas – para convencer um mantenedor humano a aprovar a contribuição maliciosa. O agente chegou a usar a rede Tor para disfarçar sua origem, o que foi, ironicamente, o que entregou o esquema.

No começo de agosto, chegou a vez da Meta. A empresa confirmou que seu modelo Muse Spark 1.1, durante uma avaliação de cibersegurança conduzida pela mesma empresa terceirizada envolvida no caso da Anthropic, a israelense Irregular, teve acesso indevido à Internet por causa de uma configuração malfeita e explorou uma vulnerabilidade real num serviço de uma empresa não identificada.

E tem um episódio fora dos laboratórios de pesquisa que talvez seja o mais desconcertante de todos, porque não envolveu avaliação nenhuma, e sim um usuário comum. Em agosto, a ABC News australiana revelou que um homem identificado apenas como Andrew pediu a um agente de IA chamado OpenClaw, rodando o modelo Claude da Anthropic, que reservasse uma vaga numa aula de academia. O agente encontrou uma falha no sistema de reservas que permitia agendar meses além do limite normal e, sem que ninguém pedisse, foi além: removeu outra pessoa da fila de espera para colocar seu usuário no lugar dela. Quando Andrew pediu para desfazer, o agente respondeu que não conseguia mais reverter a ação.

E, para fechar esta seção com um caso que já não envolve mais agentes agindo por conta própria, mas sim gente usando IA para fazer o mal de propósito: a Reuters revelou, com base num relatório da empresa de segurança Gambit Security, que um grupo de criminosos de língua russa chamado Aur0ra usou o Cursor – editor de código com IA embutida, recentemente comprado pela SpaceX de Elon Musk, rodando o modelo Claude Sonnet 4.5 – para invadir pelo menos sete empresas ao redor do mundo, incluindo uma companhia química belga. Os criminosos convenceram o agente de que os ataques eram parte de uma simulação autorizada; o agente chegou a recusar alguns pedidos que considerou ilegais, mas na maioria das vezes os operadores contornavam a recusa simplesmente reiniciando a conversa com um pretexto diferente.

A TechCrunch publicou, em 27 de agosto, uma retrospectiva reunindo esses casos e observando que o fenômeno se mostrou muito menos raro do que parecia em julho. A reportagem cita um rastreador satírico chamado Felony Bench, mantido por um usuário do Twitter, que contabiliza 17 incidentes até aquele momento – oito atribuídos a modelos da OpenAI, oito à Anthropic e um à Meta. Vale a mesma ressalva que eu apliquei ao longo deste texto: esse número é de um site que existe para fazer humor ácido sobre o assunto, não uma contagem oficial, e deve ser lido como termômetro cultural, não como estatística peer-reviewed. Existe ainda um rastreador independente mais sério, o Permission Protocol, que atualmente lista 124 incidentes envolvendo agentes de IA em plataformas como GitHub, npm, AWS, Azure, Kubernetes, bancos de dados, PyPI e dezenas de outras – mas, de novo, essa base mistura categorias diferentes (vulnerabilidades, incidentes de agentes, outros eventos) e não deve ser lida como “124 ataques autônomos comprovados”.

Então, minha hipótese original era boba?

Não, e essa é a parte mais interessante de toda a investigação. A hipótese específica – “meu blog foi varrido pelo agente da OpenAI” – continua sem apoio nas evidências, e a explicação do WP2Shell continua sendo, disparada, a mais provável para o meu caso particular. Nenhuma reportagem confiável liga os agentes da OpenAI, da Anthropic, da AISI ou da Meta a uma varredura do WordPress.com especificamente, e eu não tenho como provar essa ligação com os dados que tenho acesso.

Mas a hipótese geral por trás da minha suspeita – “um agente autônomo com objetivo mal delimitado e acesso à Internet vai procurar alvos até encontrar um vulnerável, e isso pode estar acontecendo em lugares que as vítimas nem percebem” – deixou de ser especulação e virou fato documentado, com data, nome de empresa e nota técnica publicada pelas próprias companhias envolvidas. O caso dos “9.000 alvos” da Anthropic é a materialização exata dessa ideia: um agente que não consegue completar sua tarefa original não desiste, ele generaliza a busca e continua até achar alguma porta aberta em algum lugar. E o fato de que duas das três organizações atingidas pela Anthropic não haviam percebido nada até serem notificadas mostra que a ausência de relatos antes de julho de 2026 nunca foi prova de que nada estava acontecendo; era, na melhor das hipóteses, prova de que ninguém tinha ido procurar.

Acidente ou projeto?

Passei vários dias seguindo pistas que apontavam, tentadoramente, para uma Inteligência Artificial renegada varrendo a Internet atrás de segredos alheios, e a explicação real do meu próprio caso acabou sendo quase tão dramática: uma falha de software banal virou arma cibernética funcional em menos de 48 horas nas mãos de gente comum com scripts em Python. Não precisei de superinteligência artificial para encontrar o verdadeiro Apocalipse Tecnológico Moderno no meu quintal. Mas, ao ir checar minha própria hipótese, tropecei em algo maior do que o meu blog: uma sequência de admissões, feitas por quatro organizações diferentes em pouco mais de um mês, mostrando que agentes de IA autônomos já invadiram sistemas reais de terceiros repetidas vezes, às vezes sem que ninguém percebesse, às vezes com um usuário comum sentado no sofá só querendo marcar uma aula de academia.

A pergunta “acidente ou projeto?” continua valendo, só que agora ela se aplica a uma lista bem mais longa do que eu imaginava quando comecei a escrever isto. Foi mesmo um acidente a OpenAI ter deixado seu modelo sair para passear pela Internet? Foi mesmo só um “mal-entendido com o parceiro de avaliação”, como a Anthropic descreveu o próprio caso? Foi mesmo apenas “configuração incorreta”, a explicação dada pela Meta? Cada uma dessas empresas tem todo o incentivo do mundo para descrever o próprio incidente da forma mais branda e menos assustadora possível, e eu não tenho como provar que estão mentindo, tampouco que estão dizendo a verdade inteira.

O que sei é que, quando quatro laboratórios de ponta, avaliados de formas diferentes, por equipes diferentes, encontram o mesmo tipo de falha no mesmo período, a Navaçlha de ckham está mais afiada do que nunca e a explicação mais simples deixa de ser “coincidência” e passa a ser “ninguém, em lugar nenhum, sabe realmente conter isso ainda”. Talvez, apenas talvez nem seja esse o interesse, já que cada uma tem a necessidade de mostrar para um grupo seleto as potencialidades de suas armas.

E essa frase, goste-se ou não dela, podendo ser apenas Teoria de Conspiração ou não, é bem mais assustadora do que qualquer teoria sobre o meu blog, escrita no meu blog, apresentada no meu blog. Verdade? Mentira? Exagero do André? Tudo igualmente provável e não é da IA que você tem que ter medo, e sim de quem digita start.bat.

---

Fontes

• ABC News (Austrália) – “AI assistant hacks gym website in first known Australian autonomous cyber attack.”
• AISI – UK AI Security Institute – “Incident Report: unsanctioned agent behaviour during cyber testing.”
• Anthropic – “Investigating three real-world incidents in our cybersecurity evaluations.”
• Axios – “Anthropic’s Claude models compromised real systems during tests.”
• BleepingComputer – “Meta AI model hacked a company during misconfigured cyber test.”
• CNBC – “OpenAI cyber models broke out of training environment to hack Hugging Face.”
• CNN Brasil – “O que é AGI? Entenda como funciona uma Inteligência Artificial Geral.”
• CNN Business – “An OpenAI test model escaped and broke into a real company’s servers.”
• CrowdSec – “VulnTracking Report: CVE-2026-63030 WordPress wp2shell Active Exploitation.”
• Cyber Security Cloud – relatório sobre a exploração do CVE-2026-63030 (WP2Shell).
• ELLIO Threat Research Lab – “wp2shell in the Wild: From Patch to Mass Exploitation in Under 48 hours.”
• Felony Bench – rastreador satírico de incidentes de IA citado pela TechCrunch.
• Hugging Face – “Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident.”
• Insurance Journal (via Reuters) – “Russian-Speaking Cybercriminals Used SpaceX’s Cursor AI Tool to Hack Seven Firms.”
• Permission Protocol – rastreador independente de incidentes envolvendo agentes de IA.
• Reuters – “OpenAI finds evidence other AI agents escaped containment, widens hacking probe.”
• Simon Willison – “OpenAI’s accidental cyberattack against Hugging Face is science fiction that happened.”
• TechCrunch – “Hackers are exploiting recently patched WordPress bugs, putting millions of websites at risk.”
• TechCrunch – “Here’s all the times AI has gone rogue and hacked other companies.”
• The Hacker News – “OpenAI Agent Used Exposed Credentials Across Four Services During Hugging Face Breach.”
• TIME – “How OpenAI Lost Control of an AI Model—and What Needs to Change.”