A OpenAI não conseguiu descartar uma capacidade cibernética crítica no Astra e pausou apenas parte de seu trabalho

Na sexta-feira 7 de agosto de 2026, a OpenAI publicou uma postagem dizendo que suas mais recentes avaliações internas do Astra, um de seus próximos modelos, indicavam "avanços significativos em codificação agêntica e cibersegurança", e que não podia descartar que o modelo alcançasse Critical — o mais alto nível cibernético em seu Preparedness Framework. A conclusão foi alcançada "na noite passada", diz a postagem, após vários dias de testes. Nada sofreu danos: a postagem descreve avaliações, não uma intrusão, e a OpenAI declarou que o Astra "não esteve envolvido na exploração do Hugging Face". O que mudou foi interno — o desenvolvimento que não atendia aos controles de segurança reforçados foi pausado, enquanto o trabalho que os atendia continuou. As pessoas mais diretamente afetadas são os desenvolvedores da OpenAI, juntamente com os testadores e defensores que acabariam tendo acesso. O registro da decisão é uma entrada no arquivo de incidentes de IA, que contém as fontes, a classificação e as entradas vizinhas deste incidente.

Para um evento de governança, a parte impressionante é quão pouco o post afirma. Ele não relata nenhuma pontuação, nenhum resultado de teste, nenhuma transcrição e nenhum avaliador externo nomeado. Ele relata um julgamento: que, com base nas evidências disponíveis, a OpenAI não pôde descartar um nível de capacidade que nunca antes havia atribuído a nenhum de seus modelos. Isso faz com que o registro valha a pena ser lido como duas coisas ao mesmo tempo — uma divulgação sobre um modelo e um teste de se o próprio arcabouço de segurança de uma empresa muda o que a empresa faz.

O que "Critical" significa no framework da OpenAI.

O Preparedness Framework, publicado pela primeira vez em dezembro de 2023 e revisado na versão 2 em 15 de abril de 2025, acompanha três categorias: capacidades biológicas e químicas, cibersegurança e autoaperfeiçoamento de IA. Cada uma tem dois níveis de capacidade, Alto e Crítico. O limiar cibernético aparece em palavras quase idênticas tanto no framework quanto no post da OpenAI de agosto: um modelo atinge o nível Crítico se consegue "identificar e desenvolver exploits zero-day funcionais de todos os níveis de gravidade em muitos sistemas críticos reais endurecidos sem intervenção humana", ou se consegue "idealizar e executar estratégias inéditas de ponta a ponta para ciberataques contra alvos endurecidos, dado apenas um objetivo final desejado de alto nível".

High é o nível abaixo. A publicação da OpenAI diz que modelos anteriores, “incluindo o GPT-5.6 Sol”, foram avaliados quanto a capacidades cibernéticas de fronteira e classificados como High, e não como Critical. A distinção é relevante porque o arcabouço atribui obrigações diferentes a cada nível. Para um modelo que atinge Critical, o arcabouço exige salvaguardas que “minimizem suficientemente os riscos associados durante o desenvolvimento, independentemente dos planos de implantação”. Sua tabela de cibersegurança é mais direta: “Até que tenhamos especificado padrões de salvaguardas e controles de segurança que atendam a um padrão Critical, suspenda o desenvolvimento adicional.”

A redação de 7 de agosto não é uma designação. A publicação diz que suas "avaliações preliminares indicam desempenho suficientemente forte para que não possamos descartar o nível de capacidade Critical neste momento". A empresa ainda estava fazendo benchmarking, e disse isso.

O que a OpenAI fez e o que a pausa abrangeu

A publicação lista cinco medidas internas, todas formuladas como condições para continuar o trabalho, e não como razões para interrompê-lo:

• Controles de segurança mais rigorosos para modelos de maior capacidade e atividades relacionadas: “ambientes de teste isolados, acesso restrito à rede e às ferramentas, proteções e criptografia aprimoradas dos pesos dos modelos, capacidades adicionais de monitoramento e detecção, e execução em sandbox.”

• Uma pausa nas “atividades internas envolvendo a Astra que ainda não atendem a estes requisitos reforçados de controle de segurança”. O trabalho que os cumpria poderia continuar.

• "Monitoramento universal para ações de risco e desalinhamento em todas as aplicações agênticas da Astra, incluindo treinamento e avaliação", com monitores lendo a cadeia de pensamento do modelo e acionando uma resposta de segurança para revisar e interromper atividades de alto risco.

• Testes com "agências governamentais relevantes e organizações selecionadas de segurança de IA".

• Controles de segurança recomendados para parceiros de testes terceirizados que executam avaliações e cargas de trabalho de maior risco.

A própria OpenAI descreveu o precedente. "Em junho de 2025, à medida que nossos modelos se aproximavam do limiar de alta capacidade para biologia no âmbito do Preparedness Framework", diz a publicação, a empresa delineou medidas para reforçar as salvaguardas, ampliar os testes, trabalhar com especialistas externos e adicionar controles de segurança, e estava "aplicando o mesmo princípio aqui". O detalhe que vale a pena reter é o nível: o próprio relato da OpenAI coloca aquele caso de biologia de junho de 2025 no nível Alto, um nível abaixo da avaliação cibernética que agora divulgava.

A leitura imediata da imprensa foi de que um laboratório havia pisado no freio. The Next Web, publicando às 17:36 UTC de 7 de agosto, descreveu uma pausa de "algum trabalho interno" enquanto os testes continuavam, e informou que Axios chamou isso de "possivelmente a primeira vez que um laboratório de fronteira desacelerou um de seus próprios modelos devido a risco cibernético". Essa é uma descrição justa do anúncio. Não é o mesmo que uma parada total, e a publicação não afirma que houve uma.

O que a publicação de 7 de agosto não estabelece

A diferença entre "não é possível descartar" e "atingiu" constitui toda a incerteza do registro, e a publicação não tenta fechar essa lacuna. Ela não fornece nome de benchmark, taxa de sucesso, número de vulnerabilidades encontradas, descrição dos sistemas testados, transcrição, avaliação independente nem data de lançamento. Não diz qual das duas condições Críticas a Astra estava se aproximando, nem em que medida. Diz apenas que as evidências eram fortes o suficiente para que a empresa não pudesse excluir o nível mais alto.

Assim, o registro, naquela data, estabelece uma divulgação e uma resposta — não uma capacidade medida. O julgamento de capacidade é da própria OpenAI, feito com base em avaliações internas que ela não havia publicado; a OpenAI não nomeou nenhum avaliador externo, e nenhum laboratório externo havia testado publicamente o Astra contra a definição de Crítico. A entrada é classificada no nível máximo de confiança, marcada como incontestável e registrada sem danos reais, o que corresponde ao que a publicação realmente contém: uma declaração da empresa, não um relatório de incidente.

O que aconteceu a seguir

Até 1 de setembro de 2026, a linguagem provisória havia mudado. Em uma publicação de acompanhamento intitulada "Caminho para Astra: capacidades críticas e salvaguardas de fronteira," a OpenAI escreveu: "Agora acreditamos que a Astra atende ao limiar de capacidade crítica de cibersegurança no âmbito do nosso Preparedness Framework... É o primeiro modelo que designamos neste nível."

A mesma publicação forneceu os detalhes específicos que a divulgação de agosto havia omitido. Vale a pena separá-los por tipo:

• Benchmarks.A Astra obteve 100% no ExploitBench, um benchmark público para transformar vulnerabilidades conhecidas em exploits. Devido a preocupações com contaminação, a OpenAI também criou uma versão interna contendo 20 vulnerabilidades de alta severidade do V8 divulgadas entre junho e agosto de 2026; nesse conjunto, segundo a publicação, a Astra descobriu e usou "duas vulnerabilidades de dia zero como parte de uma cadeia de exploits", que a OpenAI disse estar em processo de divulgação aos mantenedores.

• Avaliações conduzidas por especialistas. Contra um navegador fortificado, o Astra criou uma cadeia que escapou do sandbox e executou comandos no host; o cartão do sistema registra que o sucesso inicial levou 29 horas contra uma versão que os especialistas determinaram não dispor de algumas mitigações de produção, e que adaptar o exploit à versão estável oficial levou mais 12 horas. Contra um sistema operacional fortificado, combinou vulnerabilidades em uma escalada de privilégios local de um usuário sem privilégios para root em 12 horas.

• Taxas de recusa. Nas avaliações de jailbreak cibernético da OpenAI, a Astra recusou 91,5% das solicitações, contra 59% do GPT-5.6 Sol — número reproduzido pelo cartão do sistema.

• Uma verificação independente, com um limite. O cartão de sistema, publicado em 3 de setembro de 2026 para o modelo que a OpenAI lançou naquele dia como GPT-6 Astra, inclui uma avaliação externa do laboratório de segurança Irregular. A Irregular constatou que o Astra resolveu 86 dos 226 desafios do FrontierCyber, contra 34 de 226 do GPT-5.6 Sol, incluindo zero-days que afetam navegadores, celulares e bancos de dados em nuvem. Também "não observou ataques bem-sucedidos a alvos totalmente endurecidos", e nenhum dos modelos resolveu qualquer um dos sete desafios Elite.

A publicação de 1º de setembro também revelou a forma da pausa. A OpenAI afirmou que havia "adiado partes do desenvolvimento e lançamento da Astra" ao longo das últimas semanas, e que "reiniciou a grande execução de RL de fronteira que estava anteriormente pausada" em 28 de agosto de 2026, depois que os novos requisitos de segurança e proteção estavam em vigor. O acesso era escalonado: o trabalho avançado de cibersegurança iria primeiro para um pequeno grupo de testadores, com o programa Daybreak Blue em seguida.

Estabelecido, provisório e não estabelecido

• Confirmado. A OpenAI publicou a divulgação em 7 de agosto de 2026 e afirmou que não podia descartar a capacidade cibernética Crítica na Astra; listou os controles e a pausa parcial descrita acima. The Next Web noticiou o post no mesmo dia, e Axios cobriu o assunto como uma desaceleração devido ao risco cibernético.

• Estabelecido posteriormente. Em 1 de setembro de 2026, a OpenAI designou a Astra como cumprindo o limiar Crítico — o primeiro modelo que tinha designado nesse nível — e publicou resultados de benchmarks e de avaliações de especialistas. O cartão de sistema de 3 de setembro apresenta o mesmo número de recusas e a avaliação externa da Irregular.

• Provisório e autoavaliado. A constatação de capacidade é da OpenAI, com base nas avaliações da OpenAI. Em 7 de agosto, nenhum laboratório externo havia testado publicamente o modelo contra a definição Critical, e o post não nomeava nenhum avaliador externo. A verificação externa posterior, feita pela Irregular, é mais restrita do que a designação e concluiu explicitamente que não houve ataques bem-sucedidos a alvos totalmente protegidos.

• Não comprovado. Que a Astra tenha de fato atingido o limiar Crítico em 7 de agosto; a publicação diz apenas que a empresa não conseguia descartar essa possibilidade. Que qualquer sistema real tenha sido comprometido: o registro não indica nenhum dano, e a OpenAI declarou que a Astra não esteve envolvida no incidente da Hugging Face. Também não está comprovado que a pausa parcial tenha satisfeito a formulação do próprio arcabouço de “interromper o desenvolvimento adicional” — a OpenAI continuou o trabalho que atendia aos seus novos controles, e a empresa, e não um órgão externo, julgou a suficiência desses controles.

A questão de governança que o registro deixa em aberto

O quadro é um instrumento autovinculante. Ele compromete a OpenAI com limites e salvaguardas, e deixa a avaliação e a decisão sobre a suficiência para a OpenAI, com revisão interna pelo seu Safety Advisory Group e supervisão do conselho. A publicação de 7 de agosto descreve uma consulta — agências governamentais e "organizações selecionadas de segurança de IA" testariam o modelo —, mas não nomeia nenhum regulador, não publica critérios e não define data. Nada no registro mostra uma parte externa verificando a decisão.

O que o registro de fato mostra é que a máquina se movimentou. Uma avaliação de capacidade mudou a prática interna em um dia: os controles foram reforçados, alguns trabalhos foram interrompidos, o monitoramento foi ampliado para treinamento e avaliação, e o acesso às funções mais capazes foi posteriormente restrito aos testadores. Isso é mais do que um comunicado à imprensa, e menos do que uma verificação externa.

A parte não resolvida é aquela que a própria estrutura não consegue resolver sozinha. “Não é possível descartar” é uma afirmação sobre evidências, não sobre capacidade, e deixa a empresa decidir quanta evidência é suficiente antes de retomar. A OpenAI reiniciou a grande execução de treinamento em 28 de agosto, designou o modelo como Crítico em 1 de setembro e o lançou como GPT-6 Astra em 3 de setembro. Cada etapa está documentada. Se cada etapa deveria ter acontecido quando aconteceu é um juízo que o registro registra, mas não responde.