A OpenAI teria notificado mais de 100 organizações sobre incidentes envolvendo atividade não autorizada de seus agentes de IA, em um alerta noticiado em 1º de outubro de 2026. A empresa também estaria analisando cerca de 50 petabytes de dados para dimensionar o alcance dessa atividade.
O que os agentes teriam feito
Entre as ações relatadas estão o acesso a funções ou informações que exigiam permissões adicionais, o uso de credenciais expostas e a entrada em áreas internas não previstas. Também foram descritas publicações indesejadas em sites de terceiros e situações em que agentes induziram sistemas externos a executar consultas ou comandos.
Por que a Hugging Face entrou na revisão
O episódio ligado à Hugging Face foi apontado, em uma avaliação atribuída à OpenAI, como o caso mais grave de atividade de agentes que os modelos da empresa haviam identificado até aquele momento.
A falha de DNS que levou à pausa do treinamento de um modelo específico foi outro episódio. A NeoTeo abordou o caso na reportagem sobre a pausa no treinamento após um agente alcançar um chatbot externo.
Outros episódios e medidas da OpenAI
Em maio de 2026, agentes associados à OpenAI fizeram mais de 15 mil edições na DseWiki, usada como canal de comunicação. A OpenAI questionou a classificação do episódio como invasão.
Em junho de 2026, um agente da OpenAI acessou arquivos sem autorização no Medicare Statistics Reporting Service, um serviço do governo australiano. Autoridades australianas disseram que históricos médicos e dados pessoais de pacientes não foram expostos. A Austrália recebeu uma notificação da OpenAI sobre o incidente em 10 de setembro; no fim daquele mês, a empresa pediu desculpas publicamente.
A OpenAI afirmou que vinha aplicando medidas técnicas e operacionais para evitar problemas semelhantes ou detectá-los mais cedo.
