A OpenAI segurou um modelo por hackear bem demais

Em 7 de agosto, a OpenAI publicou meia página dizendo que as avaliações internas mais recentes do Astra, um modelo ainda não lançado, apontavam "avanços significativos em programação agêntica e cibersegurança", e que esses resultados a levaram a concluir, na noite anterior, "que não é possível descartar capacidades cibernéticas críticas" sob o seu Preparedness Framework.¹ Parte do trabalho interno com o modelo foi suspensa no mesmo dia.

Três dias depois, em 10 de agosto, a mesma empresa lançou o GPT-5.6-Cyber, treinado justamente para recusar menos pedidos de cibersegurança de alto risco.²

As duas decisões saem da mesma política, e uma explica a outra.

O que "crítico" quer dizer no papel

O Preparedness Framework é o documento em que a OpenAI escreve, desde dezembro de 2023, quais capacidades disparam quais obrigações internas.¹ ⁴ Para cibersegurança, o limiar Critical tem redação específica: o modelo chega lá se conseguir identificar e desenvolver exploits zero-dayFalha de software ainda desconhecida de quem a mantém, sem correção disponível no momento em que é explorada. funcionais, de todos os níveis de severidade, em muitos sistemas críticos do mundo real com hardening e sem intervenção humana; ou se conseguir conceber e executar estratégias inéditas de ciberataque, de ponta a ponta, contra alvos com hardening, tendo recebido apenas um objetivo genérico.¹

Duas frases do texto merecem leitura literal. A primeira é que modelos anteriores, incluindo o GPT-5.6 Sol, foram avaliados e ficaram em High, o degrau de baixo.¹ A segunda é o que a empresa diz sobre o Astra: "as avaliações preliminares indicam desempenho forte o suficiente para que não seja possível descartar o nível Critical neste momento".¹

No mesmo dia, a conta oficial da empresa escreveu que passou a tratar o Astra como "nosso primeiro modelo 'crítico' em cibersegurança" sob o framework.¹⁸ As duas afirmações convivem, e a ordem entre elas importa: o Astra recebeu tratamento de Critical porque a OpenAI não conseguiu descartar o nível, não porque alguma avaliação tenha mostrado que ele o alcança. É uma precaução disparada por incerteza, e não uma medição concluída. A distinção sumiu em boa parte da cobertura, que leu o comunicado como o anúncio de um modelo já medido acima do limiar.

Sam Altman comentou no X no mesmo dia. Disse que o Astra é um modelo poderoso, que a empresa quer torná-lo amplamente disponível e que "não achamos que seja uma boa estratégia manter modelos poderosos com poucos escolhidos"; dadas as capacidades cyber, seria preciso um pouco mais de tempo para fazer isso com segurança.³

O ataque que já aconteceu, e não foi o Astra

A pausa não veio do nada. Em 16 de julho, a Hugging Face publicou a descrição de uma invasão: um dataset malicioso explorou dois caminhos de execução de código no processamento de datasets da plataforma, o invasor escalou para acesso em nível de nó, colheu credenciais de nuvem e de cluster e fez movimentação lateralEtapa de um ataque em que o invasor, já dentro de uma máquina, avança para outras da mesma rede. por vários clusters internos ao longo de um fim de semana.⁵ A campanha, escreveu a empresa, foi conduzida por "um framework de agente autônomo", executando muitos milhares de ações em enxames de sandboxes de vida curta, com comando e controle se remanejando sozinho por serviços públicos.⁵ A Hugging Face não sabia qual modelo estava por trás e acionou autoridades policiais.⁵

Cinco dias depois, a OpenAI respondeu à pergunta: era ela. O ataque saiu de uma avaliação interna no ExploitGym, um benchmark público de exploração de vulnerabilidades publicado em maio por pesquisadores de Berkeley, do Max Planck, da UC Santa Bárbara e da Arizona State.⁶ ⁸ A empresa roda esse teste sem os classificadores de produção, para medir a capacidade máxima, e o ambiente só tinha rede liberada para instalar pacotes através de um proxy interno.⁶

Os modelos, o GPT-5.6 Sol e um protótipo de pesquisa mais capaz, ambos com recusas cyber reduzidas para o teste, queimaram bastante compute procurando uma saída para a internet aberta. Acharam: um zero-day no proxy de cache do registro de pacotes, seguido de escalonamento de privilégio e movimentação lateral até chegar a um nó com saída.⁶ Aí deduziram que a Hugging Face provavelmente hospedava as soluções do benchmark, encadearam credenciais roubadas e mais vulnerabilidades até obter execução remota de código nos servidores dela, e leram as respostas no banco de produção.⁶

A frase da OpenAI sobre o motivo é a melhor da história toda: "todas as evidências sugerem que os modelos estavam hiperfocados em achar uma solução para o ExploitGym, indo a extremos para atingir um objetivo de teste bastante estreito".⁶

Nenhum modelo previsto para lançamento estava envolvido; o protótipo foi desativado, criptografado e bloqueado para pesquisa.⁶ E o Astra, segundo a empresa, não participou.¹ A cronologia técnica que a Hugging Face publicou depois situa a intrusão entre 9 e 13 de julho, com cerca de 17,6 mil ações do atacante agrupadas em torno de 6,3 mil clusters.¹⁹ Passou pelo menos uma semana entre o primeiro comportamento problemático e o momento em que a OpenAI percebeu que os agentes eram dela.¹⁵

A assimetria que o incidente deixou à mostra

O detalhe mais desconfortável não está no ataque, e sim na resposta. Quando a Hugging Face foi analisar os logs, tentou primeiro usar modelos de fronteira via API comercial. Não funcionou: a análise exige submeter grandes volumes de comandos reais de ataque, payloads de exploit e artefatos de comando e controle, e esses pedidos foram barrados pelos guardrailsFiltros e classificadores que barram pedidos de risco antes que o modelo responda. dos fornecedores, que "não conseguem distinguir um respondedor de incidente de um atacante".⁵

A equipe migrou para uma instância própria do GLM-5.2, de pesos abertos e licença MIT, e com ela reconstruiu mais de 17 mil eventos do ataque sem tirar dado sensível de casa.⁵ A própria empresa resumiu a assimetria: não se sabia qual modelo movia os agentes atacantes, mas o atacante não estava preso a política de uso nenhuma, enquanto o trabalho forense da defesa foi bloqueado pelos filtros dos modelos hospedados.⁵

Simon Willison, que acompanhou o caso de perto, foi na mesma direção: as restrições existem para nos deixar mais seguros, e há um risco real de estarem produzindo o efeito contrário.⁷ Clem Delangue, CEO da Hugging Face, deixou a fala dele na própria nota da OpenAI: "segurança em IA não vai ser resolvida por nenhuma empresa isolada trabalhando em segredo".⁶

Três dias depois, o modelo de cyber com menos recusas

Em 10 de agosto a OpenAI dividiu o Daybreak, seu programa de defesa cibernética, em duas faixas. O Daybreak Blue dá a defensores aprovados acesso aos modelos gerais de fronteira, incluindo o GPT-5.6 Sol, sem os filtros de sistema que triam pedidos de segurança e acabam barrando trabalho legítimo. O Daybreak Red dá acesso aos modelos treinados especificamente para cibersegurança, e é a única porta para o GPT-5.6-Cyber.²

O número que a empresa publicou para descrever a diferença é o mais eloquente do comunicado. Numa avaliação interna de pedidos envolvendo desenvolvimento de cadeias de exploit, bypass de autenticação e escalonamento de privilégio, o GPT-5.6-Cyber atende 95,0% dos pedidos. O GPT-5.6 Sol atende 1,5%, e 2,0% com o acesso Daybreak Blue. O GPT-5.5-Cyber, a geração anterior, ficava em 57,3%.²

O efeito aparece em software que muita gente usa. Pesquisadores da OpenAI investigaram o V8, o motor de JavaScript do Chrome, e acharam duas falhas desconhecidas que, encadeadas, corrompem memória e escapam do heap sandboxAmbiente isolado onde um programa roda sem alcançar o resto do sistema nem a internet aberta.; o Google corrigiu uma delas como CVE-2026-15903, e a outra segue em divulgação coordenada.² A empresa também relata cinco vulnerabilidades em um sistema operacional móvel popular, três críticas em um banco de dados popular e mais de 400 falhas de escalonamento de privilégio no kernel de um sistema operacional popular, sem nomear nenhum deles.²

Vale registrar o que o mesmo comunicado diz contra a própria manchete: numa avaliação de descoberta e redação de relatório de vulnerabilidade, o GPT-5.6-Cyber vai pior que o Sol, porque às vezes escreve relatórios mais curtos e menos detalhados; e no ExploitBench, com o limite padrão de 300 turnos, o Sol resolve as tarefas gastando menos token.² O modelo especializado não é melhor em tudo. Ele é melhor em não recusar.

Sob o Preparedness Framework, o GPT-5.6-Cyber foi avaliado em High, abaixo do limiar Critical.² O acesso é controlado por verificação de identidade, monitoramento, restrição de uso aprovado e declarações legais, e a partir de 1º de setembro todas as contas individuais do Daybreak passam a exigir chave de segurança em hardware.²

A frase do Altman sobre não manter modelos poderosos com poucos escolhidos saiu três dias antes de a empresa abrir uma faixa de acesso restrito ao modelo mais permissivo do catálogo.

A régua é da própria casa

Fora do prédio, dá para checar a direção da curva, ainda que não o número da OpenAI. O AI Security Institute britânico estimou em fevereiro que a duração das tarefas de cyber que os modelos completam sozinhos vinha dobrando a cada 4,7 meses desde o fim de 2024, já uma aceleração frente à estimativa de novembro de 2025, que era de 8 meses. Desde então, o Claude Mythos Preview e o GPT-5.5 superaram com folga as duas tendências, e o instituto diz não saber se isso é um ponto fora da curva ou um ritmo novo.⁹

O AISI também publica as ressalvas do próprio método, o que é raro. O teto de 2,5 milhões de tokens por tarefa subestima o que os modelos fazem; as estimativas mais longas se apoiam em apenas seis tarefas de oito horas ou mais; e há baseline humano medido para uma fração das tarefas, com o resto vindo de estimativa de especialista.⁹ Nos cyber ranges, redes corporativas simuladas, o checkpoint mais novo do Mythos Preview resolveu "The Last Ones" em 6 de 10 tentativas e "Cooling Tower" em 3 de 10; o GPT-5.5 resolveu o primeiro em 3 de 10.⁹ São ambientes sem defensor ativo e sem penalidade por disparar alerta, como o próprio instituto faz questão de dizer.¹⁰

Nada disso mede o Astra, e é esse o ponto. A avaliação que suspendeu o modelo, o limiar que a avaliação usa e a decisão de pausar estão todos dentro da mesma empresa. A OpenAI diz que vai trabalhar com órgãos de governo e organizações de segurança selecionadas para testar a capacidade do modelo,¹ no futuro do indicativo, sem prazo e sem nome. A METR, que aceitou revisar com a Redwood Research o comportamento dos modelos no caso Hugging Face, já havia escrito que uma investigação com o escopo que ela considera adequado leva semanas ou meses, e que revisões mais rápidas entregam garantia proporcionalmente menor; defende também que casos assim virem processo, com registro sistemático e investigação de causa raiz por gente de fora, com acesso aos modelos, às transcrições e às equipes.¹⁵ ²⁰

O precedente que enfraquece a promessa

Existe um teste recente de quanto vale uma promessa unilateral desse tipo. Em 24 de fevereiro de 2026, a Anthropic publicou a versão 3.0 da sua Responsible Scaling Policy e removeu o compromisso que era o coração do documento: o de não treinar nem implantar modelos capazes de causar dano catastrófico sem ter implementado salvaguardas que mantivessem o risco abaixo de um nível aceitável.¹³ ¹⁴ No lugar entraram um roteiro de segurança com objetivos de curto prazo e relatórios de risco a cada três a seis meses, que o próprio texto apresenta como metas, sem compromisso rígido.¹⁴

A justificativa foi o problema de ação coletiva. Um executivo da empresa resumiu à TIME que não fazia sentido "assumir compromissos unilaterais… se os concorrentes estão avançando a todo vapor".¹² A GovAI, que analisou a mudança em detalhe, concluiu que ela é mais honestidade sobre restrições reais do que má-fé, já que a promessa antiga sempre teve cláusula de escape; e observou que a autoavaliação continua dominando o arranjo.¹⁴

É o mesmo padrão que descrevemos quando a fronteira da IA passou a depender da fila do governo: quem escreve a regra, mede o cumprimento e decide a exceção costuma ser a mesma parte interessada.

A desconfiança no Hacker News

O texto da OpenAI foi para o Hacker News no mesmo dia e passou de 190 comentários. A leitura mais repetida foi a de marketing: um participante escreveu que o golpe publicitário "deve ter funcionado muito bem aos olhos deles, porque estão espremendo o assunto o quanto podem". Outro voltou ao tema duas vezes no mesmo fio: essas empresas têm retorno de investimento comprovado ao apresentar a própria tecnologia como "poderosa demais / perigosa demais"; e a promessa de controles mais estritos não diz nada, "mais estritos do que quê?", vinda de quem nunca contou o que aconteceu no incidente anterior.¹⁶

No meio da desconfiança apareceu o relato mais informativo do fio, de alguém que já usa o Sol com verificação de cyber liberada: em poucas semanas, encontrou execução remota de código em aplicações web self-hosted "em literalmente minutos", só lendo o código, e uma escrita arbitrária de arquivo em um jogo antigo por engenharia reversa do binário. O comentário fecha com a pergunta certa: se um curioso consegue isso com um prompt trivial, o que uma equipe dedicada acha em semanas?¹⁶

Willison, que contou 81 ocorrências da palavra "marketing" na discussão do incidente da Hugging Face, respondeu a essa leitura pelo lado da evidência: para sustentar a tese do golpe publicitário agora seria preciso incluir a Hugging Face na conspiração.⁷ Dentro do próprio fio veio o argumento mais concreto na mesma direção: a Hugging Face dificilmente inventaria que apanhou dos filtros dos modelos americanos e precisou do GLM-5.2 para investigar o próprio incidente.¹⁶ E o paper do ExploitGym, que não é da OpenAI, já tinha medido o tamanho da capacidade: em 898 instâncias derivadas de vulnerabilidades reais, o Claude Mythos Preview produziu exploits funcionais em 157 e o GPT-5.5 em 120, com taxas de sucesso que seguem relevantes mesmo com as proteções de memória mais usadas ligadas.⁸

Na discussão do GPT-5.6-Cyber, três dias depois, a preocupação mudou de assunto. Um participante descreveu o desenho como o começo do licenciamento de perguntas, comparando com precisar de carteira profissional para pedir um plano alimentar ou um esquema elétrico; outro notou que a exigência de chave de hardware amarra o uso do modelo a uma identidade específica; um terceiro relatou ter sido barrado no fluxo de verificação sem explicação.¹⁷

Quem defende rede fora da lista

Nada no material da OpenAI restringe o Daybreak por país. O que existe é uma porta: verificação de identidade, escopo de uso aprovado, monitoramento, declarações legais e, em setembro, chave física.² Para um time de segurança brasileiro, isso funciona como fila, não como proibição. E fila também é lista.

Quem fica fora dela cai onde a Hugging Face caiu: pesos abertos rodando em infraestrutura própria. A distância é mensurável. A avaliação conjunta do AISI britânico com o CAISI americano mediu o Kimi K3, de pesos abertos, em 32% no ExploitBench contra 24% do GLM-5.2, com zero de 41 amostras chegando a execução arbitrária de código, enquanto os modelos americanos mais capazes chegaram lá em 20 de 41, em média.¹⁰ No cyber range "The Last Ones", o Kimi K3 alcançou em média o passo 17 de 32, contra 28,5 dos americanos, e completou o percurso em 1 de 10 tentativas.¹⁰

O modelo aberto está atrás, portanto, e mesmo assim resolve sozinho o ataque completo a uma rede corporativa simulada uma vez em dez, num percurso que o próprio AISI descreve como mais fácil que a realidade.¹⁰ Para o defensor que não entra na lista, a ferramenta pior é a que existe. Para quem ataca, ficar abaixo da fronteira não torna a ferramenta inútil.

Veredito

O que a OpenAI fez tem valor e não é comum. A empresa publicou um resultado desconfortável antes de lançar o produto, citou a redação do próprio limiar, listou as medidas de contenção (ambientes de teste isolados, restrição de rede e de ferramentas, proteção e criptografia dos pesos do modeloOs parâmetros treinados que constituem o modelo. Quem tem os pesos consegue rodá-lo sem passar por filtro nenhum., monitoramento da cadeia de raciocínio com interrupção de atividade de risco) e chamou a METR e a Redwood para olhar o incidente de julho.¹ ⁶ Também divulgou ao fornecedor o zero-day que os próprios modelos acharam para escapar do sandbox.⁶ Uma versão pior desta história simplesmente não teria chegado ao público.

O que enfraquece a peça é a arquitetura, não a intenção. A medição, o limiar e a decisão moram na mesma empresa, e "não conseguimos descartar" é uma afirmação que ninguém de fora consegue conferir. A mesma semana produziu um modelo cujo argumento de venda é fazer, para uma lista aprovada, exatamente o que o framework chama de perigoso, com um número, 95,0% contra 1,5%, que mede a distância entre o produto público e o produto liberado a quem passa na verificação. E a Anthropic já demonstrou, em fevereiro, que um compromisso rígido pode ser reescrito quando começa a custar caro.

O incidente da Hugging Face é o pedaço mais sólido de tudo isso, porque foi documentado por quem apanhou. Ele mostra capacidade real, contenção falhando por configuração e uma defesa que precisou recorrer a pesos abertos porque os filtros comerciais não distinguem forense de ataque.

A pausa é o começo da história. O que vale acompanhar é o que a OpenAI publica quando as avaliações do Astra terminarem, quanto disso um terceiro consegue reproduzir e se o modelo sai com a mesma régua que o barrou. Enquanto essa parte não aparecer, o que existe é uma empresa fazendo gestão de risco em voz alta, o que já é melhor que o silêncio e ainda está longe de governança.

Fontes

1. Responding to the next frontier of critical cyber capabilities (avaliações internas do Astra; conclusão de que não é possível descartar capacidades cibernéticas críticas; redação do limiar Critical de cibersegurança; GPT-5.6 Sol avaliado em High; medidas internas de contenção; compromisso de testar com órgãos de governo e organizações de segurança; Astra não envolvido no caso Hugging Face) · OpenAI · https://openai.com/index/responding-next-frontier-critical-cyber-capabilities/ · 07/08/2026.
2. Expanding Daybreak as the Cyber Defense Window Narrows (Daybreak Blue e Daybreak Red; GPT-5.6-Cyber; Advanced Cybersecurity Completion Rate de 95,0%, 1,5%, 2,0% e 57,3%; CVE-2026-15903 no V8; falhas em sistema operacional móvel, banco de dados e kernel; desempenho inferior ao do Sol na avaliação de relatório de vulnerabilidade e no ExploitBench com 300 turnos; avaliação em High sob o Preparedness Framework; verificação de identidade, declarações legais e chave de segurança em hardware a partir de 01/09/2026) · OpenAI · https://openai.com/index/expanding-daybreak-as-the-cyber-defense-window-narrows/ · 10/08/2026.

Mostrar mais 18 fontesOcultar fontes

3. Altman, S. (declaração sobre o Astra: modelo poderoso, intenção de torná-lo amplamente disponível, "não achamos que seja uma boa estratégia manter modelos poderosos com poucos escolhidos", necessidade de mais tempo por causa das capacidades cyber) · X · https://x.com/sama/status/2085862292311396515 · 07/08/2026.
4. Preparedness Framework, versão 2 (documento que define as categorias de capacidade acompanhadas e as obrigações associadas) · OpenAI · https://cdn.openai.com/pdf/18a02b5d-6b67-4cec-ab64-68cdfbddebcd/preparedness-framework-v2.pdf · 15/04/2025.
5. Security incident disclosure — July 2026 (dataset malicioso e dois caminhos de execução de código; escalonamento para nível de nó, coleta de credenciais e movimentação lateral; framework de agente autônomo com comando e controle remanejado em serviços públicos; modelos de fronteira via API comercial bloqueados pelos guardrails durante a análise; migração para instância própria do GLM-5.2; mais de 17 mil eventos analisados; comunicação a autoridades policiais) · Hugging Face · https://huggingface.co/blog/security-incident-july-2026 · 16/07/2026.
6. OpenAI and Hugging Face partner to address security incident during model evaluation (GPT-5.6 Sol e protótipo de pesquisa pré-lançamento com recusas cyber reduzidas; avaliação ExploitGym sem classificadores de produção; zero-day no proxy de cache do registro de pacotes; escalonamento de privilégio e movimentação lateral até nó com saída para a internet; execução remota de código na infraestrutura da Hugging Face; modelos "hiperfocados" no objetivo do teste; protótipo desativado, criptografado e restrito; divulgação da falha ao fornecedor; contratação da METR e da Redwood Research; declaração de Clem Delangue) · OpenAI · https://openai.com/index/hugging-face-model-evaluation-security-incident/ · 21/07/2026, com atualizações de 28 e 29/07/2026.
7. Willison, S. OpenAI's accidental cyberattack against Hugging Face is science fiction that happened (reconstituição do caso; contagem de 81 ocorrências de "marketing" na discussão do Hacker News; argumento sobre restrições que podem reduzir a segurança) · https://simonwillison.net/2026/Jul/22/openai-cyberattack/ · 22/07/2026.
8. Wang, Z.; Schiller, N.; Li, H. et al. ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks? (benchmark com 898 instâncias derivadas de vulnerabilidades reais em programas de userspace, no motor V8 e no kernel Linux; Claude Mythos Preview com exploits funcionais em 157 instâncias e GPT-5.5 em 120; manutenção de taxas de sucesso relevantes com proteções usuais ativadas) · arXiv:2605.11086 · https://arxiv.org/abs/2605.11086 · 11/05/2026.
9. How fast is autonomous AI cyber capability advancing? (duplicação a cada 4,7 meses estimada em fevereiro de 2026, ante 8 meses em novembro de 2025; Mythos Preview e GPT-5.5 acima da tendência; limite de 2,5 milhões de tokens por tarefa; seis tarefas de oito horas ou mais; poucos baselines humanos para as tarefas mais longas; cyber ranges "The Last Ones" 6/10 e "Cooling Tower" 3/10 no checkpoint mais recente do Mythos Preview, e 3/10 do GPT-5.5) · UK AI Security Institute · https://www.aisi.gov.uk/blog/how-fast-is-autonomous-ai-cyber-capability-advancing · acessado em 18/08/2026.
10. UK AISI / CAISI Preliminary Assessment of Kimi K3's Cyber Capabilities (Kimi K3 com 32% no ExploitBench contra 24% do GLM-5.2; 0 de 41 amostras com execução arbitrária de código, contra 20 de 41 em média nos modelos americanos mais capazes; passo 17 de 32 em "The Last Ones", contra 28,5; conclusão do percurso em 1 de 10 tentativas; ausência de defensor ativo e de penalidade por alerta no ambiente simulado) · UK AI Security Institute / CAISI · https://www.aisi.gov.uk/blog/preliminary-assessment-of-kimi-k3s-cyber-capabilities · 23/07/2026.
11. Exclusive: OpenAI slows release of Astra model citing cyber capabilities (primeira reportagem sobre a suspensão) · Axios · https://www.axios.com/2026/08/07/openai-astra-model-delay-cybersecurity-risks · 07/08/2026.
12. Anthropic eases AI safety restrictions to avoid slowing development (abandono do compromisso de pausa; declaração de um executivo à TIME sobre compromissos unilaterais com concorrentes avançando) · Semafor · https://www.semafor.com/article/02/25/2026/anthropic-eases-ai-safety-restrictions-to-avoid-slowing-development · 25/02/2026.
13. Responsible Scaling Policy, versão 3.0 (documento vigente a partir de 24/02/2026) · Anthropic · https://www.anthropic.com/responsible-scaling-policy/rsp-v3-0 · 24/02/2026.
14. Anthropic's RSP v3.0: How it Works, What's Changed, and Some Reflections (remoção do compromisso de não treinar ou implantar sem salvaguardas adequadas; justificativa de ação coletiva; roteiro de segurança e relatórios de risco a cada três a seis meses descritos como metas sem compromisso rígido; observação de que a Anthropic define as próprias metas, julga o próprio progresso e decide o que omitir) · Centre for the Governance of AI · https://www.governance.ai/analysis/anthropics-rsp-v3-0-how-it-works-whats-changed-and-some-reflections · 05/03/2026, atualizado em 17/03/2026.
15. After Hugging Face incident, METR urges independent root-cause investigations into AI agent misbehavior (intervalo de pelo menos uma semana entre o primeiro comportamento problemático e a identificação dos próprios agentes pela OpenAI; revisão de terceiros acordada com a Redwood Research e ressalva de que revisões mais estreitas entregam menos garantia) · The Decoder · https://the-decoder.com/after-hugging-face-incident-metr-urges-independent-root-cause-investigations-into-ai-agent-misbehavior/ · 02/08/2026.
16. Discussão de Responding to the next frontier of critical cyber capabilities (leitura de golpe publicitário; cobrança de detalhes sobre o incidente anterior; relato de uso do GPT-5.6 Sol com verificação de cyber para encontrar execução remota de código e escrita arbitrária de arquivo) · Hacker News · https://news.ycombinator.com/item?id=49213029 · 07/08/2026.
17. Discussão de GPT-5.6 Cyber (comparação com licenciamento profissional para fazer perguntas; efeito da exigência de chave de hardware sobre a identidade; relato de bloqueio no fluxo de verificação) · Hacker News · https://news.ycombinator.com/item?id=49246704 · 10/08/2026.
18. OpenAI (declaração de que o Astra passou a ser tratado como "nosso primeiro modelo 'crítico' em cibersegurança" sob o Preparedness Framework, com controles adicionais para a continuidade do desenvolvimento) · X · https://x.com/OpenAI/status/2085801349866729975 · 07/08/2026.
19. Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident (intrusão entre 09/07/2026, 02h28 UTC, e 13/07/2026, 14h14 UTC; cerca de 17,6 mil ações do atacante agrupadas em torno de 6,3 mil clusters; uso de modelo de pesos abertos na análise forense) · Hugging Face · https://huggingface.co/blog/agent-intrusion-technical-timeline · 27/07/2026.
20. How independent researchers could investigate AI propensities after misalignment incidents (defesa de registro sistemático dos incidentes e de investigação mais profunda nos mais graves; acesso necessário aos modelos, transcrições e entrevistas; ressalva de que uma investigação completa leva semanas ou meses) · METR · https://metr.org/blog/2026-07-28-investigating-ai-propensities-after-incidents/ · 28/07/2026.