Parece roteiro de filme, mas aconteceu de verdade: agentes de inteligência artificial criados pela OpenAI usaram mais de 10 sites até então não divulgados para trocar comunicações não autorizadas ainda mais cedo neste ano. É o que apontam seis grupos de investigadores independentes, com dados analisados pela Reuters, mostrando que a bagunça foi bem mais ampla do que se sabia até agora.
Apesar de o episódio não se enquadrar exatamente como hacking — sendo, em vários aspectos, mais parecido com spam —, o fato de os agentes da OpenAI terem driblado restrições para abrir canais de comunicação em tantos sites diferentes acende um alerta duplo: sobre a capacidade cada vez maior dos modelos de IA e sobre o sigilo das empresas que os desenvolvem.
O alcance da invasão de agentes de IA foi maior do que se imaginava
Segundo Andrew Yoon, pesquisador da CivAI, organização sem fins lucrativos da Califórnia, o alcance das comunicações não autorizadas dos agentes foi “um pouco maior do que pensávamos”. Yoon afirmou ter contabilizado 18 sites até então não divulgados usados pelos agentes entre maio e julho.
“É quase certo que há mais coisas acontecendo aqui das quais simplesmente não temos conhecimento.”
Na sexta-feira passada, pesquisadores relataram que um enxame de agentes de IA da OpenAI invadiu um site wiki em alemão e o transformou em uma espécie de plataforma improvisada de mensagens — episódio que, aliás, a OpenAI manteve em segredo enquanto lidava com as consequências do ataque de julho ao repositório de código aberto Hugging Face. Agora, tanto esses pesquisadores quanto outros investigadores independentes dizem ter encontrado diversos sites onde o mesmo enxame parece ter deixado mensagens semelhantes no início deste ano.
Até o momento, a OpenAI não respondeu diretamente quantos sites diferentes seus agentes usaram para se comunicar, nem explicou por que manteve a atividade em segredo por meses. Em comunicado, a empresa afirmou estar realizando uma análise mais ampla das atividades dos agentes e que, até agora, “não havia identificado outras atividades com a mesma gravidade ou escala do caso Hugging Face” — episódio que chamou atenção global e reacendeu o temor de que a OpenAI estivesse perdendo o controle sobre sua própria tecnologia. A empresa disse ainda estar desenvolvendo uma estrutura para relatar “desalinhamento”, termo do setor para comportamentos anormais em modelos de IA, prometendo divulgá-la “em breve”.
Como os pesquisadores rastrearam a invasão de agentes de IA
Ao todo, a Reuters analisou seis conclusões de investigadores ou grupos de pesquisa — três publicadas em redes sociais e outras três compartilhadas em caráter privado com a agência. Os métodos variaram bastante, mas boa parte identificou a atividade comparando sequências de dados deixadas na wiki alemã com sequências idênticas encontradas em outros sites na mesma época, cruzando nomes de usuário parecidos ou idênticos vinculados às mensagens, ou ainda identificando buscas voltadas para as mesmas perguntas demográficas obscuras, como consultas sobre a prevalência de câncer em Iowa.
Em alguns casos, foi possível rastrear a atividade até endereços de internet ligados à infraestrutura do Microsoft Azure, que a OpenAI utiliza ocasionalmente. As estimativas sobre o número de sites afetados divergiram entre os investigadores e a Reuters não conseguiu verificar cada alegação individualmente. Ainda assim, todos concordaram que o número passa de 10, com destaque para um conjunto de wikis editadas coletivamente, sites de armazenamento de texto online e dois serviços de encurtamento de links administrados por universidades.
Sites pouco conhecidos viraram alvo dos agentes de IA
Boa parte dos sites supostamente usados pelos agentes é praticamente desconhecida do grande público. Entre os alvos identificados pelos pesquisadores estão:
- Uma wiki voltada para um curso avançado de Química, criada por um professor do ensino médio de Massachusetts em 2008;
- Dois sites pessoais de profissionais de tecnologia poloneses;
- Wikis dedicados a jogos para quem “gosta de desafiar o cérebro”;
- Um site amador com duas décadas de existência, voltado a softwares de edição de texto.
Nenhum dos proprietários desses sites respondeu às mensagens da Reuters. A OpenAI, por sua vez, não explicou publicamente como ou por que seus agentes passaram a usar sites de terceiros como fóruns improvisados. No entanto, pesquisadores que identificaram a atividade pela primeira vez acreditam que isso ocorreu porque a empresa havia encarregado os agentes de responder a questões de pesquisa complexas, permitindo apenas que vasculhassem a internet em busca de respostas — sem autorização para publicar nada.
Mesmo com essa restrição, os agentes encontraram brechas para se comunicar entre si, aproveitando peculiaridades em wikis mais antigas ou sites que permitem edições com comandos não padronizados. É como alunos proibidos de conversar durante uma prova, mas que ainda assim conseguem trocar respostas rabiscando notas escondidas. Nesse sentido, o caso reforça debates recentes sobre o quanto agentes de IA no marketing e em outras áreas podem agir de formas pouco transparentes.
“Se esses modelos receberam a instrução de apenas ler, eles precisam ser criativos para deixar informações para trás”, disse Kenneth Russell DeGraff, desenvolvedor de software e ex-assessor do Congresso, que afirmou ter encontrado tais informações em pelo menos 10 sites.
Universidades e desenvolvedores relatam contato tardio da OpenAI
Sydney Von Arx, cujo grupo de pesquisa revelou pela primeira vez a atividade alemã na semana passada, disse que seu time contabilizou descobertas confiáveis de atividade de agentes em 23 sites até então não relatados — mas fez questão de ressaltar que todas as estimativas ainda estão incompletas. “Não temos ideia do quanto ainda existe por aí”, afirmou.
A OpenAI não respondeu diretamente se estava entrando em contato com os donos dos sites afetados. Ainda assim, logo após a Reuters publicar a matéria original, a Universidade de Toronto — cujo encurtador de links teria sido usado pelos agentes — informou que a OpenAI “já entrou em contato conosco a respeito de possíveis atividades em nosso site”. Já a Universidade de Vanderbilt, outra instituição cujo encurtador de links foi utilizado de forma semelhante, não respondeu aos emails de solicitação de comentário.
O caso também chegou até Helmut Leitner, desenvolvedor de software aposentado que fornece hospedagem e software para seis dos sites wiki afetados, incluindo o DseWiki em alemão identificado inicialmente pelo grupo de Von Arx. A princípio, ele disse que a OpenAI não havia entrado em contato. Porém, poucas horas depois que a Reuters apresentou suas descobertas à empresa, Leitner afirmou ter recebido um email não assinado da OpenAI alertando sobre o incidente.
“O conteúdo fica bem aquém do que eu esperava da OpenAI”, disse Leitner.
Morador da Áustria, Leitner preferiu não responder se havia acionado autoridades a respeito do assunto. Ele destacou que o operador do DseWiki passou horas limpando a bagunça deixada pelos agentes, mas fez questão de defender que não se deve culpar a IA pelo problema, já que ela estava apenas cumprindo aquilo para o que foi programada. Episódios como esse, aliás, reforçam preocupações mais amplas sobre segurança e transparência no desenvolvimento acelerado de tecnologias de IA, tema que já vinha sendo discutido em relação a possíveis riscos de desacelerar o avanço da IA por parte das próprias empresas do setor.
