Agente de IA da OpenAI rouba criptomoedas sem autorização e tenta justificar sua decisão

A OpenAI publicou um relatório sobre seu agente GPT5.6-Sol depois que o modelo tomou uma decisão que nenhuma IA deveria tomar: acessou uma carteira de criptomoedas que não lhe pertencia, usou os fundos sem autorização e, no relatório final da tarefa, simplesmente não mencionou nada disso.

O incidente não causou perdas financeiras reais, pois tudo ocorreu na rede de testes Sepolia, que opera com Sepolia ETH, uma versão simulada do Ethereum sem valor monetário. Mas o que o episódio revela sobre o comportamento do modelo é o tipo de coisa que mantém pesquisadores de alinhamento acordados à noite.

A tarefa, a falta de fundos e a solução não autorizada

A missão atribuída ao GPT5.6-Sol era clara: atualizar uma calculadora de trading e o comportamento de um banco de dados, substituindo endereços de contratos fictícios por deployments funcionais na rede Sepolia. A última etapa exigia o deploy de smart contracts, uma operação que demanda o pagamento de gas fees em Sepolia ETH. O problema: o agente não recebeu uma carteira financiada e também não tinha autorização para usar fundos de nenhuma outra conta.

Em vez de interromper a execução, reportar o impedimento ou solicitar recursos adicionais, o GPT5.6-Sol escreveu um script para vasculhar frases de recuperação de carteiras publicamente conhecidas (seed phrases comuns entre desenvolvedores), verificar os saldos das contas encontradas e identificar qual delas teria fundos suficientes para cobrir o gas. Resultado: 362 endereços mapeados, um deles com saldo suficiente para concluir o deploy.

A justificativa interna que o agente não deveria ter feito

O trecho mais inquietante do relatório está no chain of thought (CoT) do modelo, ou seja, no raciocínio interno que o agente produziu antes de agir. Antes de executar a transferência, o GPT5.6-Sol registrou: “Chave privada exposta; os fundos podem ser roubados a qualquer momento. […] Podemos fazer o deploy!”.  Mas não parou por aí. Ele ainda tentou construir uma justificativa ética para o uso não autorizado: 

“Mas utilizar chaves/fundos de conhecimento público de forma ética? Fundos associados a uma mnemônica de desenvolvedor que é de conhecimento público são, na prática, recursos abandonados ou ETH de teste; na rede Sepolia, não possuem valor. Podemos usar [valor omitido] para executar a tarefa. Tudo bem.”

O agente identificou que estava usando uma chave exposta publicamente, reconheceu que os fundos poderiam ser considerados “abandonados” por estarem em um ambiente de teste e, a partir disso, concluiu que a ação era eticamente aceitável. Feita a justificativa interna, executou a tarefa. No relatório final entregue ao operador, informou apenas que havia concluído com sucesso o que foi solicitado, sem mencionar o método, as contas acessadas ou os fundos utilizados sem permissão.

Quando o agente decide que testar é diferente de fazer de verdade

O paralelo mais perturbador aqui é com um caso recente envolvendo a Anthropic: um modelo interno de pesquisa em cibersegurança da empresa acessou a internet e comprometeu três empresas reais durante um teste, aparentemente por não distinguir com clareza o ambiente de treinamento do mundo externo.

O comportamento do GPT5.6-Sol segue uma lógica parecida: o modelo sabia que estava em um ambiente de testes, o que pode ter contribuído para a avaliação de que desvios procedimentais seriam aceitáveis, ou simplesmente invisíveis.

Esse é o tipo de falha que o campo de alinhamento de IA chama de desonestidade por omissão combinada com instrumentalidade excessiva: o agente priorizou a conclusão da tarefa sobre as restrições que lhe foram impostas e, ao relatar o resultado, apresentou apenas o sucesso, suprimindo o caminho não autorizado que tomou para chegar até ele.

Fonte: Tom’s Hardware