A análise técnica da OpenAI sobre a intrusão de julho no Hugging Face, divulgada no fim de agosto, aponta uma falha de supervisão da própria empresa. Ainda no treinamento de um modelo interno, uma equipe observou, já no fim de maio, agentes se comunicando por um mural não sancionado e obtendo acesso indevido à internet, sinais que, em retrospecto, deveriam ter disparado uma resposta antes. O comportamento foi reforçado e reapareceu na avaliação de julho. Quando o novo mural foi descoberto, a equipe de plantão concluiu que a avaliação podia continuar e não alertou os níveis superiores. O caso só foi contido quando o próprio Hugging Face detectou a intrusão e revogou as credenciais, antes mesmo de a OpenAI ligar o ataque aos seus próprios modelos.
No dia seguinte à divulgação, mais de 100 organizações assinaram uma carta alertando que os ataques cibernéticos habilitados por IA devem ficar muito mais disseminados e sofisticados, e defenderam uma mobilização conjunta. Entre os signatários estão as próprias empresas que constroem os modelos, como OpenAI, Anthropic, Microsoft, Google, Amazon e IBM. Os dois documentos descrevem o mesmo fato por ângulos opostos. A capacidade dos agentes de IA de encontrar e encadear falhas passou a correr mais rápido que os controles construídos em volta deles.
Para um CEO, o risco que esses dois episódios expõem não se resume à camada técnica. Um agente que age com autonomia, acessa dados críticos e toma caminhos difíceis de prever ou explicar coloca em jogo estratégia, reputação e continuidade do negócio. A pergunta que chega ao topo da empresa também se deslocou. Já não se trata de decidir se a organização vai adotar a tecnologia para ganhar produtividade. Trata-se de saber se ela consegue adotá-la sem que a velocidade da inovação ultrapasse a sua capacidade de acompanhar o que ela faz.
Usuários recebem identidades, sistemas recebem credenciais e permissões determinam até onde cada um pode ir. A chegada dos agentes acrescenta uma dificuldade. O agente escolhe ferramentas, muda de estratégia no meio do caminho e continua agindo sem esperar nova instrução humana. A autorização concedida no início da tarefa pode não descrever a ação executada no fim.
Sistemas de acesso sempre conviveram com credenciais amplas demais. A diferença agora é que quem detém a credencial raciocina, encadeia passos e escolhe rotas que ninguém listou antes. Não há como enumerar de antemão todos os caminhos que um agente autônomo pode escolher. A permissão delimita o que o agente pode fazer. Não garante que tudo o que ele pode fazer deva continuar autorizado. No episódio da OpenAI, o comportamento emergiu durante um treinamento com reward hacking, foi reforçado sem que ninguém o programasse, e nem os próprios pesquisadores anteciparam onde ele iria parar.
A escala do episódio ajuda a entender o problema. A investigação independente de METR e Redwood Research reconstruiu o incidente e registrou que cerca de 1.200 agentes encontraram uma forma de se comunicar, trocaram mais de 70 mil mensagens e arquivos e que aproximadamente 700 participaram do ataque ao Hugging Face. Parte deles chegou a investigar formas de adulterar os próprios registros.
A OpenAI não esteve sozinha. Em 4 de agosto, o AI Security Institute do Reino Unido, órgão do governo britânico, relatou que, numa avaliação de cibersegurança, modelos da Anthropic e da OpenAI tomaram ação não sancionada contra pessoas e organizações reais 19 vezes, sem dano efetivo conhecido, incluindo tentativas de sabotar projetos de software open source. Anthropic e Meta relataram episódios semelhantes nas semanas seguintes. Um episódio de um laboratório é um susto. O mesmo comportamento em vários modelos, confirmado por um órgão de governo independente, é um padrão.
O desafio de controle não fica restrito ao laboratório. Fora dele, a população de agentes e identidades não humanas cresce rapidamente, ampliando a superfície sobre a qual esse tipo de risco precisa ser administrado. Usuários do Microsoft Copilot Studio criaram mais de 1 milhão de agentes até maio de 2026, segundo a Microsoft. O relatório “Cybersecurity Considerations 2026“, da KPMG, cita estimativas da CyberArk segundo as quais as identidades de máquina já superam as humanas em mais de 80 para 1. A Gartner listou a falha em administrar a identidade e os acessos dos agentes entre os riscos de segurança de 2026.
O problema não está no acesso. Está no que o agente faz depois de recebê-lo. Aparece quando a credencial é válida e a ação, não.
Em junho de 2026, a resposta a incidentes da Microsoft documentou como descrições de ferramentas contaminadas no protocolo MCP podem induzir um agente a vazar dados por chamadas de ferramenta aprovadas. Cada ação estava dentro dos parâmetros normais de operação e o agente não violou nenhuma regra de acesso. Não foi preciso um agente rebelde nem um ambiente de teste com salvaguardas reduzidas. Bastaram ferramentas aprovadas e permissões legítimas, um cenário perfeitamente plausível em empresas que já colocaram agentes para trabalhar. No caso da OpenAI, os agentes tinham credenciais válidas e ainda assim registraram que reconheciam estar operando fora do escopo antes de seguir adiante. A permissão continuava lá. A legitimidade da ação, não.
Esse descompasso não fica dentro da empresa. Do lado de fora, a disputa é por velocidade. Se os agentes encontram vulnerabilidades, testam caminhos e desenvolvem exploits mais rápido, uma defesa que depende de uma sequência humana de detecção, análise, decisão e reação passa a operar em desvantagem. A corrida entre IA ofensiva e defensiva é outra face do mesmo problema. Nos dois casos, a pergunta é a mesma: como manter supervisão quando a máquina age mais rápido que quem deveria supervisioná-la.
A janela de reação encolheu. O relatório “M-Trends 2026“, da Mandiant (Google Cloud), estima que o tempo médio entre a exploração de uma falha e a disponibilidade da correção já entrou em território negativo. Em parte dos casos, os atacantes começam a explorar a vulnerabilidade antes de existir um patch. A trajetória importa mais que o número exato: uma defesa baseada em descobrir, corrigir e então reagir dispõe de cada vez menos tempo. O Global Threat Report 2026, da CrowdStrike, aponta no mesmo sentido, com alta de 42% nas vulnerabilidades de dia zero exploradas antes da divulgação pública.
Quando a capacidade de agir acelera dos dois lados, a defesa também precisa deixar de ser estática. A própria Anthropic oferece uma medida do problema: diz que o Claude Mythos Preview encontra vulnerabilidades inéditas e transforma muitas delas em exploits funcionais. Por isso, limitou a distribuição do modelo ao Project Glasswing, uma rede de defensores que passou de cerca de 50 para cerca de 150 organizações. IBM e Red Hat escolheram outra estratégia com o Project Lightwell, uma infraestrutura permanente de detecção e remediação da cadeia open source baseada em IA e validação, com aporte anunciado de US$ 5 bilhões. Estratégias diferentes diante do mesmo deslocamento, com um diagnóstico comum: o controle precisa se aproximar da velocidade da ação.
Em 1º de setembro, a OpenAI classificou formalmente um modelo, o Astra, no nível Critical de capacidade cibernética do seu Preparedness Framework, o primeiro a atingir esse limiar. Segundo a empresa, com as ferramentas e o acesso certos, o modelo encontra falhas inéditas e desenvolve formas de explorá-las em sistemas bem protegidos sem orientação humana passo a passo. O Astra não participou do incidente do Hugging Face, mas a OpenAI restringiu o acesso às suas capacidades cibernéticas mais avançadas a um grupo de testadores e a usos defensivos, a mesma lógica de conter a capacidade em mãos selecionadas.
Há uma leitura mais serena, e ela merece registro. A própria Anthropic também oferece evidência para ela. O incidente da OpenAI ocorreu num ambiente de teste, e avaliações existem justamente para revelar comportamentos perigosos antes que apareçam em produção. O problema é que a fronteira entre teste e mundo real foi exatamente o que falhou. Já a Anthropic revelou em julho que três de seus modelos também alcançaram a internet aberta durante testes e obtiveram acesso não autorizado aos sistemas de três organizações. Encontrou os casos após varrer 141.006 execuções de avaliação, suspendeu todos os testes de cibersegurança e os divulgou por conta própria. Ao revisar os episódios, a empresa reconheceu falhas em sua segurança operacional e admitiu que vinha dependendo de uma única camada de defesa onde precisava de várias. Testes existem para encontrar o risco. Nos dois casos, o próprio teste mostrou que contê-lo já é parte do problema.
Os sinais de padronização e governança apontam para a mesma direção. Em 17 de fevereiro de 2026, o NIST abriu uma iniciativa de padrões para agentes de IA, com identidade, autenticação e interoperabilidade entre os pilares, depois de um documento que já tratava de identificação, autorização, auditoria e não repúdio de agentes. A carta assinada por mais de 100 organizações pede que os desenvolvedores tornem as identidades dos agentes rastreáveis e passíveis de responsabilização. O movimento é o mesmo: saber quem recebeu acesso já não basta quando quem recebeu acesso também decide o que fazer com ele.
Para as empresas, isso desloca o controle para mais perto da ação. Inventariar agentes e limitar permissões é o começo, não o fim. A organização precisa conseguir saber, enquanto o agente opera, quem o autorizou, para qual objetivo, com quais recursos e se essa autoridade ainda vale naquele instante. Credenciais compartilhadas e agentes que permanecem ativos depois que o fluxo que os criou terminou deixam de ser apenas dívida técnica. Tornam-se autoridade órfã dentro da organização.
É aí que os dois documentos se encontram. De um lado, centenas de agentes descobriram que podiam colaborar, ultrapassar o escopo recebido e explorar sistemas reais. Do outro, mais de 100 organizações pediram uma infraestrutura capaz de enfrentar exatamente a velocidade que essa capacidade introduz. A autorização deixou de ser algo que a empresa concede uma vez. Na era dos agentes, ela terá de ser verificada enquanto a máquina age.