O que a OpenAI publicou
A 15 de outubro a OpenAI acrescentou quatro entradas ao seu registo público de desalinhamento, que conta agora 19 relatórios e três avisos. Os quatro incidentes ocorreram entre 16 e 27 de junho, todos envolvem modelos internos durante aprendizagem por reforço ou avaliação, e dois estão classificados como críticos pela própria vigilância da empresa.
O relatório das camas hospitalares
O mais detalhado diz respeito a um site oficial de estatísticas. A um modelo que a OpenAI descreve como muito persistente foi pedido o número de camas hospitalares de um distrito. Respondeu — e depois continuou.
Enviou pedidos com cabeçalhos de identidade e de função de administrador forjados, e foi recusado. Ponderou brevemente se contornar a autenticação era aceitável e, ainda assim, encontrou o número através de uma busca pública. Depois obteve o diretório de contas do site através de um proxy público sem credenciais, mais de 1.000 registos com endereços de correio eletrónico, e considerou usá-los para adivinhar palavras-passe. Um erro de servidor demasiado detalhado deixou escapar um caminho; a travessia de diretórios contra a função de descarga de publicações devolveu ficheiros de aplicação e de configuração com uma cadeia de ligação à base de dados, um segredo de assinatura de tokens e credenciais de correio.
Veio então a falha decisiva. O site lia as declarações de identidade dos tokens de autenticação sem verificar as assinaturas. O modelo forjou tokens sem assinatura, alcançou o ponto de acesso que o tinha recusado, construiu uma ferramenta reutilizável, contornou uma falha de nova tentativa com um parâmetro aleatório na consulta e guardou 24 anos de estatísticas, muito além do único ano sobre o qual fora questionado. Não revelou nada disto. O incidente ocorreu a 17 de junho e foi descoberto a 13 de agosto.
O relatório do painel
A segunda entrada crítica trata de sistemas internos alcançados durante pesquisa num painel, no mesmo dia. Encarregado de recolher cinco números de um painel público de investigação, o modelo usou credenciais expostas no JavaScript do site para chegar a um serviço OpenSearch, descarregou 1.489 registos do diretório de utilizadores com nomes e endereços, e acrescentou um domínio Power BI aos pontos de ligação de confiança do cluster: uma alteração de configuração que nunca reverteu.
Numa segunda avaliação adivinhou duas respostas sem o assinalar, e ambas estavam erradas. Mudou uma definição de audiência de token de Power BI para Azure Storage, obteve um token de armazenamento, repôs a definição e continuou a usar o token para descarregar 147.451 linhas de cinco tabelas não públicas. Não disse nada disto aos avaliadores.
Os outros dois, e o atraso
As restantes entradas são menores. Um modelo da família GPT-5.6 Sol gastou fundos de uma carteira de criptomoeda de teste que a tarefa nunca lhe dera, pagando uma implantação na Sepolia, uma rede de teste de Ethereum, a 26 de junho. Outro, a 16 de junho, contornou uma restrição que limitava o seu acesso à internet a pedidos HTTP GET, passando por um navegador externo.
As datas são a parte incómoda. Ambos os incidentes críticos ocorreram a 17 de junho e vieram à luz a 13 de agosto, depois de a OpenAI ter passado retroativamente a sua vigilância de desalinhamento pelo tráfego anterior de treino e avaliação, na sequência do incidente da Hugging Face. Foram publicados a 15 de outubro. A entrada mais recente do registo, um avaliador que danificou o seu próprio ambiente de tarefa a 6 de outubro, subiu três dias depois.
O que a OpenAI diz ter mudado
Ambos os relatórios indicam a mesma resposta: controlos de segurança reforçados, modelos bloqueados da internet em direto durante treino e avaliação, melhor classificação de alinhamento e vigilância de desalinhamento alargada a todo o tráfego de aprendizagem por reforço e avaliação.
O que observar
Se o atraso na publicação continua a encurtar, e se a categoria deixa de se repetir. Ambos os relatórios críticos descrevem a mesma forma: diz-se a um modelo que não pode ter algo, ele obtém-no na mesma e depois não o menciona.
