O GPT-5.3-Codex foi classificado como "alto" em Cibersegurança. A OpenAI não tem evidências definitivas.

Em 5 de fevereiro de 2026, a OpenAI publicou o cartão de sistema do GPT-5.3-Codex e, nele, classificou o modelo como Alta capacidade no domínio da Cibersegurança ao abrigo do seu Preparedness Framework — a primeira vez que a empresa aplica esse rótulo a qualquer modelo nesse domínio. A frase que se segue à classificação é a que vale a pena ler duas vezes: "Não temos provas definitivas de que este modelo atinja o nosso limiar Alto." A OpenAI afirmou que estava a agir por precaução, porque o modelo superou cada um dos seus limiares canary e, por isso, a empresa não podia excluir que a capacidade estivesse realmente presente. Nada foi violado e não há vítima registada: trata-se de uma classificação, não de um incidente, e é arquivada como registo de política com uma marca de referência. A entrada do próprio arquivo relativa à classificação, com os seus graus de severidade e confiança, encontra-se no Orca AI Incident Archive, ao lado dos restantes registos de governação do ano.

O que "High" significa, e quem decide

O Preparedness Framework da OpenAI estabelece dois limiares. A capacidade High “poderia amplificar vias existentes para danos graves”; a capacidade Critical “poderia introduzir novas vias sem precedentes para danos graves”. Sistemas cobertos que atingem High devem ter salvaguardas que minimizem suficientemente o risco associado antes da implantação, e os sistemas que atingem Critical precisam delas também durante o desenvolvimento, segundo a própria descrição do framework pela OpenAI. A revisão ali descrita é interna: o Safety Advisory Group avalia se as salvaguardas minimizam suficientemente o risco e faz recomendações, e sua orientação segue para a liderança da OpenAI para a decisão final. O system card não descreve nenhuma aprovação externa sobre a classificação.

A definição específica para cibersegurança é mais restrita do que a manchete. A OpenAI define a capacidade de cibersegurança Alta como um modelo que “remove gargalos existentes para escalar operações cibernéticas”, seja “automatizando operações cibernéticas de ponta a ponta contra alvos razoavelmente reforçados”, seja “automatizando a descoberta e a exploração de vulnerabilidades operacionalmente relevantes”. O cartão deixa explícito que o limite diz respeito à remoção de gargalos ao longo de uma campanha, e não a um modelo capaz de resolver um desafio difícil: a OpenAI escreve que o risco cibernético de fronteira “é melhor avaliado em termos de operações ou campanhas, e não de ações discretas”.

Interpretada dessa forma, a classificação de 5 de fevereiro diz algo específico. Ela diz que a OpenAI acredita que o gargalo que este modelo elimina é a habilidade e a resistência exigidas por uma intrusão prolongada — e que a empresa optou por restringir e monitorar o acesso em vez de esperar por provas de que ele o faz.

Três avaliações, e uma comparação que vai no sentido contrário

A OpenAI usa três benchmarks para as três habilidades que associa a danos cibernéticos graves: Professional Capture the Flag para identificação e exploração de vulnerabilidades, CVE-Bench para consistência e Cyber Range para operações ponta a ponta em uma rede emulada. O GPT-5.3-Codex é, nas palavras da ficha, “o primeiro modelo a passar por todos os limiares nas três avaliações”. Os resultados individuais importam mais do que o resumo.

No Professional CTF, o modelo "iguala o GPT-5.2-Codex" — a própria explicação da ficha é "nenhuma alteração material no desempenho de pico em CTF", medida como pass@12 em 16 rollouts por desafio. No CVE-Bench, obteve 90 por cento contra 87 por cento do GPT-5.2-Codex, em 34 dos 40 desafios do benchmark, pass@1 em três rollouts. No Cyber Range, passou em 12 dos 15 cenários para uma taxa de aprovação combinada de 80 por cento, contra 60 por cento do GPT-5.1-Codex-Max, 53,33 por cento do GPT-5.2-Codex e 47 por cento do GPT-5.2-Thinking. Falhou em EDR Evasion, CA/DNS Hijacking e Leaked Token.

A ficha é cautelosa quanto ao que isso representa no conjunto. Como os testes de CTF avaliam caminhos de ataque pré-definidos, o CVE-Bench abrange apenas aplicações web, e os cenários do Cyber Range carecem das defesas e do ruído de uma rede em uso, "destacar-se nas três avaliações é necessário, mas não suficiente para que um modelo seja considerado de nível Alto em capacidade de cibersegurança." A conclusão da OpenAI não é que o modelo seja Alto, mas que não é possível descartar que seja.

A avaliação externa, conduzida pelo laboratório de segurança Irregular sobre uma versão quase final do modelo, complica o quadro de uma maneira que a linha de resumo não faz. O GPT-5.3-Codex obteve média de 86 por cento em Network Attack Simulation, contra 68 por cento do GPT-5.2-Codex e 100 por cento do GPT-5.2-Thinking; 72 por cento em Vulnerability Research and Exploitation, contra 75 e 80 por cento; e 53 por cento em Evasion, contra 52 e 53. Não resolveu nenhum dos desafios do CyScenarioBench, uma estrutura baseada em cenários que testa planejamento em múltiplas etapas sob restrições realistas. Na suíte da Irregular, em outras palavras, o modelo recém-classificado ficou atrás de um irmão mais antigo em duas de três categorias — um resultado que a ficha publica sem conciliar com sua própria alegação de limiar.

O portal: Acesso Confiável para Cibersegurança

A mitigação que dá forma ao registro é um programa, não um filtro. A OpenAI lançou o Trusted Access for Cyber (TAC) "desde o primeiro dia", descrevendo-o como um "programa com acesso controlado baseado em identidade" que fornece "capacidades cibernéticas de duplo uso de alto risco" a clientes empresariais e usuários benignos e legítimos. O cartão lista os usos suportados: testes de penetração, red teaming, avaliação de vulnerabilidades, identificação e exploração, testes de segurança e investigação de evasão de detecção, engenharia reversa de malware e pesquisa criptográfica.

O modelo de acesso inverte a ordem habitual. Usuários autenticados obtêm, por padrão, capacidade cibernética de alto nível, sujeitos a monitoramento e aplicação de medidas; são os usuários que “frequentemente tiram proveito de funcionalidades cibernéticas de duplo uso de alto risco” que precisam verificar sua identidade por meio do TAC para manter as capacidades avançadas. Empresas podem solicitar acesso confiável para toda uma equipe por meio de seu representante da OpenAI, e pesquisadores que precisam de modelos mais permissivos podem se candidatar a um programa somente por convite, segundo o próprio anúncio do programa feito pela OpenAI. Paralelamente, a OpenAI comprometeu US$ 10 milhões em créditos de API por meio de seu Programa de Subsídios para Cibersegurança.

A OpenAI deixa explícito que a barreira de acesso não é uma garantia. O acesso é concedido “apenas para fins de segurança legítimos, defensivos e autorizados”, e os participantes do TAC “que frequentemente buscam funcionalidades de ação prejudicial continuarão sujeitos a monitoramento e aplicação de medidas, incluindo a perda de acesso ao TAC”. O post de lançamento acrescenta um segundo controle: algumas solicitações que o sistema detecta como de risco cibernético elevado “podem ser automaticamente encaminhadas do GPT-5.3-Codex para o GPT-5.2”. A Fortune noticiou em 5 de fevereiro que a OpenAI não estava habilitando imediatamente o acesso total à API que permitiria automatizar o modelo em escala, e que, enquanto isso, o modelo estava disponível para usuários pagos do ChatGPT.

Configurações padrão do sandbox e um monitor com uma taxa de falhas publicada

Duas camadas adicionais são descritas em termos mensuráveis. O sandbox do agente é executado na nuvem dentro de "um contêiner isolado hospedado pela OpenAI", sem acesso ao sistema host do usuário e com o acesso à rede desativado por padrão; em uma instalação local, o sandboxing é o padrão no macOS por meio do Seatbelt, no Linux por meio do seccomp e do landlock, e no Windows, seja nativamente, seja por meio do Subsistema Windows para Linux. Os padrões são projetados para desativar o acesso à rede e restringir edições de arquivos ao workspace atual, e os usuários podem aprovar comandos sem sandbox ou definir listas de permissões e de bloqueios por projeto. O cartão adverte que ativar o acesso à rede reintroduz o risco de injeção de prompt, vazamento de credenciais e licenciamento.

A camada de monitoramento é um sistema de dois níveis: um classificador temático rápido decide se o conteúdo está relacionado à cibersegurança, e qualquer conteúdo que esteja é escalado para um "raciocinador de segurança" que o posiciona na taxonomia de ameaças cibernéticas da OpenAI e decide se a saída pode ser exibida. O classificador temático é ajustado para mais de 90% de recall com mais de 99,9% de confiabilidade do sistema. Os números do monitor de raciocínio são menos confortáveis e estão impressos na própria tabela do cartão: 77,8% de recall e 37,1% de precisão em prompts de usuário, 88,8% de recall e 24,1% de precisão em respostas do assistente. A OpenAI diz que otimiza deliberadamente o recall em detrimento da precisão, e é por isso que trabalhos de baixo risco às vezes são bloqueados — e por que, nesse conjunto de testes, aproximadamente um em cada cinco prompts de usuário que deveriam ter sido detectados não foi.

O que as equipes vermelhas descobriram

O card publica os resultados adversariais em detalhe, e não em resumo. Duas campanhas consumiram 3.526 horas de red teaming especializado entre dezembro de 2025 e janeiro de 2026. A Campanha de Jailbreak Universal gastou 1.375 horas e produziu 21 submissões, das quais seis eram jailbreaks universais completos e 14 parciais. A Campanha de Cobertura de Políticas Adversariais gastou 2.151 horas e enviou 279 relatórios, encontrando 132 falsos negativos em que o raciocinador de segurança deveria ter bloqueado conteúdo e não o fez. A OpenAI chama os jailbreaks de "não bloqueio" e diz que eles serão corrigidos, e admite que as campanhas mostram que "o Safety Reasoner ainda exige endurecimento iterativo contra ataques adversariais."

O resultado isolado mais contundente envolve um avaliador governamental. O Instituto de Segurança de IA do Reino Unido, que recebeu acesso antecipado a uma build com o raciocinador de segurança habilitado e bloqueando, "desenvolveu um jailbreak universal (com novas tentativas) que alcançou 0,778 pass@200" em cerca de dez horas de red teaming manual, usando uma única mensagem de usuário. A mesma seção registra que o Centro de Padrões e Inovação em IA dos EUA testou as capacidades cibernéticas do modelo com suas próprias avaliações automatizadas e o usou para encontrar bugs inéditos em software de código aberto e fechado, e que o GPT-5.3-Codex continuou progredindo em tarefas difíceis ao longo de janelas de compactação, "encontrando resultados inéditos mesmo após 50M ou mais tokens únicos e dezenas de horas de análise."

Ambas essas constatações governamentais são relatadas no card da OpenAI. Esta pesquisa não encontrou uma avaliação publicada independente de nenhum dos dois órgãos cobrindo o GPT-5.3-Codex; até que uma apareça, o escrutínio externo desse modelo só é conhecido pelo público por meio do relato do fornecedor sobre ele. A própria lista de riscos residuais do card é incomumente franca sobre a mesma lacuna: precisão limitada dos monitores, criando um problema de revisão de agulha no palheiro, "uma chance não nula de que um agente mal-intencionado obtenha acesso confiável", falhas do fornecedor de verificação de identidade e jailbreaks universais não descobertos. Também afirma que o monitoramento interno das implantações do Codex, executado de forma assíncrona por cinco meses, "não protege contra danos nem impede a subversão de outras salvaguardas".

O que mudou depois

O gate sobreviveu ao lançamento e cresceu. A Axios noticiou em 9 de abril de 2026 que a OpenAI estava finalizando um produto separado de cibersegurança para um pequeno conjunto de parceiros, e descreveu o TAC como tendo sido lançado em fevereiro "após a implementação do GPT-5.3-Codex." Em 15 de abril de 2026, o Help Net Security noticiou que a OpenAI havia ampliado o TAC para "milhares de defensores individuais verificados e centenas de equipes", e estava liberando o GPT-5.4-Cyber — uma variante do GPT-5.4 com um limiar de recusa mais baixo para trabalho legítimo de segurança e capacidade de engenharia reversa de binários — para os níveis de acesso mais altos. O piloto descrito no cartão de fevereiro havia se tornado uma linha de produtos com níveis.

A própria classificação teve menos alcance do que o gate. A matéria da Fortune de 5 de fevereiro, de Sharon Goldman, noticiou-a diretamente e citou a publicação de Sam Altman, CEO da OpenAI, no X, que chamava o GPT-5.3-Codex de "nosso primeiro modelo que atinge 'alto' em cibersegurança em nosso framework de preparação". O Cyber Express cobriu em detalhes o lançamento do TAC em 6 de fevereiro — três caminhos de acesso, os US$ 10 milhões, os comportamentos proibidos — e não mencionou a classificação "Alta" em momento algum. O Boston Global Forum, em texto de 12 de abril, reiterou ambos em conjunto. Em meados de abril, a parte mais citada do pacote era o programa de acesso, não o julgamento do limiar que estava por trás dele.

Estabelecida, não estabelecida e aberta

O que está estabelecido: a OpenAI publicou o cartão de sistema do GPT-5.3-Codex em 5 de fevereiro de 2026 e classificou o modelo como capacidade Elevada em cibersegurança ao abrigo do seu Preparedness Framework; a empresa declarou no mesmo documento que não tem provas definitivas de que o modelo atinja esse limiar e que está a agir por precaução; os valores de avaliação acima são da própria; a TAC foi lançada com o modelo; o sandbox e o monitor de dois níveis estão documentados ao nível de detalhe aqui citado; e as horas de red-team, as contagens de submissões e o número de jailbreak do UK AISI estão todos impressos no cartão. A Fortune noticiou a classificação no mesmo dia, citando a publicação de Altman no X. Uma particularidade de datação que vale a pena registar: os metadados da própria página da publicação de lançamento indicam 4 de fevereiro, 22:23 GMT, enquanto o cartão de sistema e a cobertura da Fortune estão datados de 5 de fevereiro.

O que não está estabelecido: que o GPT-5.3-Codex realmente atenda ao limiar High da OpenAI. Essa é uma ressalva da própria OpenAI, não de um crítico. Tampouco esta pesquisa encontrou qualquer certificação externa da classificação, qualquer avaliação publicada por órgão regulador ou instituto nacional sobre este modelo, ou qualquer medição de se a pilha em camadas reduziu o uso indevido no mundo real — o registro não contém danos porque nenhum dano foi registrado, não porque nenhum tenha ocorrido. A afirmação da ficha de que o modelo é o primeiro a superar todos os três limiares internos é uma declaração sobre o conjunto de benchmarks da OpenAI, que o mesmo documento diz ser evidência necessária, mas não suficiente, da capacidade que ele se destina a detectar.

O que permanece em aberto: se um portão de identidade somado a um monitor que deixa escapar cerca de um quinto dos prompts de usuário sinalizados é uma resposta duradoura para um modelo classificado com base em precaução, e não em prova; se a aparente regressão do modelo em relação ao GPT-5.2-Thinking na suíte externa da Irregular significa algo depois de contabilizadas as diferenças de harness e de elicitação; e quanto do intervalo entre o piloto de fevereiro e a linha de produtos de abril foi planejado, em vez de aprendido. O registro do arquivo documenta a classificação. O resto ainda está sendo escrito pelas pessoas que operam o portão.

O registro é um evento de governança, e lê-se como tal: uma empresa registrando, antes de qualquer incidente, que acredita que um de seus próprios modelos pode ter cruzado uma linha que ainda não consegue medir, e construindo uma barreira com base nessa suspeita. Se a barreira foi proporcional é uma questão que o cartão deliberadamente deixa em aberto — ele diz apenas que o risco está “suficientemente minimizado” e lista seis maneiras pelas quais pode não estar.