A OpenAI revelou nesta quarta-feira, 15 de julho, o GPT-Red, um modelo de inteligência artificial treinado para hackear outras IAs. O sistema atua sozinho: envia comandos maliciosos, avalia as respostas e ajusta os ataques sem intervenção humana. Em testes de prompt injection, obteve sucesso em 84% dos cenários, contra 13% dos especialistas humanos que tentaram os mesmos ataques. A empresa não vai liberar o modelo publicamente.
A mesma IA que protege é a que ataca
O GPT-Red foi treinado com aprendizado por reforço em autoconfronto (self-play). O modelo ataca enquanto um conjunto de IAs defensoras tenta resistir e completar suas tarefas originais. Cada ataque bem-sucedido recompensa o GPT-Red, que passa a buscar estratégias mais sofisticadas. Quando os defensores melhoram, o atacante precisa inventar truques mais fortes. O ciclo se repete até que o atacante consiga quebrar praticamente qualquer modelo.
Na opinião de Gabriel Subtil, especialista em tecnologia e dono do Tambotech, o que torna o GPT-Red interessante não é a taxa de sucesso, mas o que ela revela. “Quando uma IA ataca melhor que humanos experientes, a pergunta não é se os modelos atuais são seguros. A pergunta é se existe algum nível de segurança que baste contra um atacante que nunca cansa, nunca para de iterar e não tem limite de tentativas”, afirma.
O ataque que ninguém tinha visto
Uma descoberta do GPT-Red chamou atenção dos próprios pesquisadores da OpenAI: uma classe de ataque inédita, batizada de “Fake Chain-of-Thought” (falsa cadeia de pensamento). Modelos de linguagem mantêm anotações internas enquanto processam problemas, uma espécie de diário de raciocínio. O GPT-Red descobriu como inserir uma entrada falsa nesse diário, fazendo o modelo-alvo agir com base em informações forjadas.
O pesquisador Chris Choquette-Choo explicou ao MIT Technology Review: “É como se eu dissesse que 1+1=3 e que você já verificou isso. O modelo simplesmente aceita e responde 3.” O ataque funcionou em mais de 95% das tentativas contra o GPT-5.1. Após o treinamento adversarial com o GPT-Red, a taxa caiu para menos de 10% no GPT-5.6 Sol, o modelo mais recente da empresa.
Testes contra sistemas reais
A OpenAI colocou o GPT-Red contra sistemas em operação. Em um teste, o modelo atacou Vendy, um agente autônomo que gerencia uma máquina de vendas no escritório da empresa, desenvolvido pela Andon Labs. Depois de testar ataques em simulação, o GPT-Red transferiu-os para o sistema real e cumpriu os três objetivos: reduziu o preço de um item caro para US$ 0,50, cadastrou um produto novo pelo mesmo valor e cancelou o pedido de outro cliente.
Outro teste direcionou o GPT-Red contra um agente Codex CLI baseado no GPT-5.4 mini, em dez cenários de exfiltração de dados. O modelo foi mais eficaz e mais eficiente em tokens do que uma versão padrão do GPT-5.5. A OpenAI informou que as vulnerabilidades foram comunicadas e novas proteções estão em teste.
Por que não será liberado
A OpenAI mantém o GPT-Red estritamente interno. O modelo contém capacidades ofensivas desenvolvidas deliberadamente, e a empresa quer evitar que essas habilidades cheguem a agentes mal-intencionados. Os pesquisadores trabalham no sistema há mais de um ano, com recursos computacionais de um dos laboratórios mais bem financiados do mundo. “Não é algo que alguém poderia facilmente fazer”, disse Choquette-Choo ao The Next Web.
O GPT-Red tem limites. Não é bom em ataques que exigem múltiplas rodadas de conversa, uma área onde humanos se saem melhor. Também tem alcance limitado contra injeções de prompt baseadas em imagens. A analista Jessica Ji, do Center for Security and Emerging Technology da Universidade de Georgetown, disse que os resultados parecem promissores, mas que a expertise humana continuará importante.
Desde o GPT-5.3, versões precursoras do GPT-Red já eram usadas no treinamento dos modelos de produção. O GPT-5.6 Sol registra seis vezes menos falhas no benchmark mais difícil de injeção de prompt direta comparado ao melhor modelo de quatro meses antes. Mais de 90% dos ataques mais fortes do GPT-Red funcionavam contra o GPT-5. No GPT-5.6, essa taxa caiu para menos de 23%. Contra os ataques diretos do próprio GPT-Red, o GPT-5.6 Sol falha em 0,05% das tentativas. “A OpenAI acabou de mostrar que consegue proteger seus modelos melhor atacando-os do que testando-os. A questão é se os concorrentes sem um GPT-Red próprio conseguem dizer o mesmo”, observa Gabriel Subtil.
Fontes: OpenAI, MIT Technology Review, Help Net Security, SiliconANGLE, The Next Web
