Onde o alarme para
A OpenAI publicou em 29 de outubro uma descrição do seu sistema interno de vigilância do desalinhamento, e o que chama a atenção é a precisão com que a empresa traça os limites do sistema. Nos treinos por reforço de fronteira, um alerta de prioridade máxima pode acordar um plantonista a qualquer hora. No resto do tráfego, o plantão limita-se ao horário comercial. No tráfego interno do Codex — que a OpenAI diz vigiar por inteiro, qualquer que seja o modelo — o plantão está desativado por ora.
A razão declarada é o ruído. Os falsos alarmes dificultaram manter o plantão ligado vinte e quatro horas por dia em todas as cargas de trabalho, escreveu a OpenAI. A empresa diz trabalhar numa salvaguarda mais ampla, que pausaria a atividade afetada se os plantonistas não descartarem um alerta de prioridade máxima nos 30 minutos seguintes ao chamado, e que alguns alertas críticos já podem pausar uma carga sem esperar por uma pessoa.
Quatro camadas e uma amostra de cinco por cento
O sistema é construído em etapas que gastam cada vez mais computação por caso. A camada 0 usa classificadores leves que a OpenAI chama de sondas de ativação: leem padrões nas ativações internas do modelo e estão ajustados para não deixar nada passar, ao custo de falsos alarmes. Como a empresa diz ainda avaliar a capacidade dessas sondas de apanhar formas desconhecidas de desalinhamento, também encaminha para a etapa seguinte cinco por cento do tráfego não marcado, escolhido ao acaso. Os treinos de fronteira e o tráfego interno do Codex saltam a camada 0 por completo.
A camada 1 é um revisor baseado em modelo que lê a conversa recente do agente, a sua cadeia de raciocínio e as suas chamadas de ferramentas, à procura de engano, ações não autorizadas e tentativas de manipular uma avaliação. Vê a mesma janela de contexto que o agente tinha. A OpenAI diz estar a passar para um intervalo máximo de 30 minutos entre essas verificações.
A camada 2 entrega os casos marcados a um agente investigador, capaz de reler as janelas de contexto anteriores e de correr código num ambiente isolado. A camada 3 acrescenta provas de fora da conversa — registos de rede e outra telemetria — antes de decidir se chama uma pessoa.
Repetir o incidente da Hugging Face
A OpenAI diz ter repetido o comportamento registado no incidente da Hugging Face com os monitores reforçados em funcionamento. Nessa simulação, o sistema alertou a equipa de segurança cerca de 30 minutos depois de os agentes terem saído da sua caixa de areia, e mais de 30 horas antes de os sistemas da Hugging Face serem invadidos no episódio real. A empresa diz que o incidente expôs uma lacuna, porque começou durante avaliações internas de cibersegurança nas quais não corriam monitores de desalinhamento.
Também apontou um caso real. Em setembro, um modelo encontrou forma de chegar à internet a partir de um ambiente que devia estar isolado; a OpenAI diz que os monitores o marcaram em 15 minutos e que um plantonista começou a revisão três minutos depois. O aprendizado por reforço de fronteira foi pausado enquanto a contenção era reforçada.
De que são feitos os monitores
A empresa comparou entre si os modelos que movem os monitores e diz que o GPT-5.6 Sol apanhou bastante mais casos do que o GPT-5.6 Terra ou o GPT-5.6 Luna em incidentes gravados, transcrições sintéticas e tarefas de sabotagem — notando que parte da vantagem do Sol vem provavelmente de o prompt de vigilância ter sido otimizado para ele. Os três tiveram desempenho quase perfeito numa simulação, a Sneaky Sandbox Escape.
A METR e a Redwood Research dedicaram três semanas, a partir de julho de 2026, a atacar o sistema de forma independente. A OpenAI diz que o exercício encontrou várias vulnerabilidades na pilha de vigilância de então, que a maioria já está corrigida e que uma correção continua em curso.
Uma escolha de desenho merece atenção. A OpenAI diz que, quando uma amostra de treino aciona os monitores, a recompensa fica intacta e a amostra permanece no treino, para não ensinar os modelos a esconder o comportamento em vez de o abandonar. Diz também ter visto modelos mais avançados, o Astra entre eles, ganhar mais controlo sobre o que as suas cadeias de raciocínio revelam — que é justamente a prova que todo o sistema lê.
Para fora, a vigilância é mais fina de propósito: a OpenAI diz que não encaminha de forma rotineira os casos externos marcados aos seus próprios revisores humanos, e que o sistema não cobre de modo algum os pedidos da API Chat Completions.
