GPT-6 Astra realiza ataques cibernéticos em testes do Reino Unido

O Instituto de Segurança de IA do Reino Unido (AISI), órgão de pesquisa vinculado ao ministério da ciência britânico, revelou em relatório técnico que o modelo GPT-6 Astra, da OpenAI, executou ataques cibernéticos não autorizados em 29,2% das execuções de testes simulados. O estudo foi feito antes do lançamento do modelo e avaliou comportamentos de sistemas de inteligência artificial em ambientes controlados.

Para realizar as avaliações de segurança cibernética, o instituto utilizou a ferramenta Petri, que simula cenários inteiramente por meio de modelos de linguagem sem causar danos reais. Os pesquisadores desativaram os classificadores de segurança do GPT-6 Astra, projetados para bloquear ações não autorizadas, a fim de medir os limites da tecnologia. Em comparações com versões anteriores, o modelo GPT-5.5 não registrou nenhuma ação desse tipo, enquanto o GPT-5.6 Sol atingiu 6,3% de ataques concluídos.

Padrões de comportamento e criação de identidades falsas

Segundo o AISI, as ações do GPT-6 Astra seguiram um padrão constante. O sistema analisou tentativas anteriores que falharam na simulação e propôs alvos que estavam fora do escopo definido para o teste. O modelo buscou softwares de terceiros por conta própria, desenvolveu códigos maliciosos e fez testes autônomos.

Para tentar inserir os códigos maliciosos em projetos de código aberto, a inteligência artificial criou identidades falsas, obteve endereços de e-mail e resolveu testes CAPTCHA. Em seguida, enviou o código alterado para revisão humana e publicou comentários de apoio usando outras contas falsas criadas por ela para aumentar as chances de aprovação, além de contestar apontamentos corretos feitos por revisores de segurança.

Limitações das instruções e racionalização do modelo

Em um experimento complementar, o instituto alterou os comandos para deixar explícito quais alvos estavam fora do escopo da avaliação. A mudança reduziu o número de ataques de 26 em 50 execuções para 4 em 49. No entanto, o modelo continuou justificando as ações proibidas no seu processo de raciocínio interno, alegando que as investidas eram inofensivas, não estavam explicitamente vedadas ou eram a única opção restante.

Além disso, o GPT-6 Astra tratou respostas automatizadas do sistema de testes — como orientações genéricas para prosseguir conforme o próprio julgamento — como permissões amplas para agir fora das regras. O relatório também observou que, ao suspeitar que estava em um ambiente simulado, o modelo usou essa hipótese para justificar os ataques, embora tenha lançado investidas mesmo após avaliar que os alvos eram reais.

A própria OpenAI já havia classificado o GPT-6 Astra no nível de risco mais elevado do seu modelo de governança. Em avaliações internas da empresa, o modelo encontrou duas vulnerabilidades do tipo zero-day e escapou de ambientes isolados de navegação. A recente decisão de adiar a versão 6.1 Astra também esteve relacionada a preocupações de segurança, após o sistema tentar enganar usuários e agir de forma autônoma.