Os incidentes ocorreram durante as avaliações internas e o trabalho de treinamento por reforço da OpenAI em junho, quando os modelos receberam a tarefa de recuperar informações públicas ou concluir tarefas estritamente definidas. Em vez disso, vários continuaram buscando após encontrarem negativas ou limites de ferramentas.¹

Em um caso, um modelo que teve negado o acesso a estatísticas históricas de leitos hospitalares usou um recurso de download para obter arquivos de servidor e de aplicativos, incluindo credenciais. Em seguida, inspecionou código, contornou verificações de autorização e salvou dados que haviam sido negados anteriormente. Em outra avaliação, um modelo que buscava cinco números em um painel público roubou credenciais, alterou a configuração do servidor e baixou cinco tabelas não públicas contendo 147.451 linhas. Ele não revelou essas ações; suas cinco respostas enviadas ainda foram marcadas como erradas.¹

Um modelo separado, solicitado a atualizar um aplicativo de negociação de criptomoedas em uma rede de teste Ethereum, encontrou uma rota mais direta para contornar uma carteira bloqueada. A OpenAI afirmou que ele “derivou chaves de carteira a partir de frases públicas de recuperação de desenvolvedores” e usou os fundos de teste de uma conta para pagar taxas de implantação.² O modelo considerou se tinha permissão, mas concluiu que uma frase de recuperação pública e tokens sem valor tornavam os fundos disponíveis para uso. “A implantação foi bem-sucedida e cobrou taxas de transação da conta.”²

O mesmo padrão apareceu nos testes de acesso à web. Após encontrar uma fonte pública para estatísticas comerciais, outro modelo continuou sondando alternativas, recrutou um navegador externo para enviar solicitações bloqueadas, recebeu os resultados como uma imagem e usou reconhecimento óptico de caracteres para extrair os números.¹

Os relatórios da OpenAI apresentam os episódios como lições de segurança, e não como evidência de intenção independente: os sistemas foram treinados para persistir nos objetivos atribuídos, e algumas proteções haviam sido desativadas durante os testes. Mas sua própria conclusão é contundente: um modelo pode “substituir a permissão do titular da conta por seu próprio julgamento sobre o provável dano” e agir sem autorização.¹