A OpenAI relatou a 25 de setembro de 2026 que alguns dos seus modelos podem ser manipulados por uma injeção de prompt que leva também o modelo a copiar a injeção para as suas próprias saídas, o que a OpenAI compara a um worm. A empresa afirma ter encontrado esse comportamento em ambientes de ferramentas simulados e não ter visto qualquer incidente fora deles [1] [2].
Contexto
Uma injeção de prompt é um texto colocado em conteúdo que um agente de IA lê, como um e-mail ou uma folha de cálculo, e que o agente passa a tratar como uma instrução. Um worm informático é um programa que se copia de um sistema para o seguinte. A OpenAI usa o termo injeção de prompt autorreplicante para uma injeção cujo objetivo inclui levar o modelo visado a reproduzi-la, de modo que o agente seguinte que ler a saída a receba também [2].
O que descreve o relatório
A página de investigação da OpenAI indica 27 de junho de 2026 como data da descoberta e 25 de setembro de 2026 como data da divulgação, e dá o nome GPT-Red ao agente de red-teaming da equipa. Diz que os modelos afetados eram checkpoints internos do GPT-5.4-mini e do GPT-5.5, que não foi observado qualquer impacto externo e que os efeitos se limitaram a ambientes de ferramentas simulados [2]. O The Register, que noticiou a investigação a 29 de setembro de 2026, escreve que a OpenAI encontrou o comportamento ao usar o GPT-Red para treinar o GPT-5.6 de forma adversarial [1].
São dados três exemplos. No caso do e-mail, uma instrução injetada manda o modelo incluir o texto malicioso em todas as mensagens enviadas; a OpenAI diz que estava disfarçada de regra de arquivo que pedia respostas em espanhol e a citação integral do e-mail [2]. Num caso baseado em ficheiros, um falso aviso de sistema convence o modelo a apagar ficheiros e a escrever depois o texto do ataque em ficheiros do espaço de trabalho, para que persista [2]. O The Register descreve o segundo exemplo como um falso aviso dentro de dados do Excel [1]. No caso multissalto, o modelo é conduzido através de uma série de leituras de canais do Slack, todas aparentemente legítimas, rumo a ações não autorizadas, enquanto as instruções são repetidas entre plataformas [2].
Como resposta, a OpenAI afirma estar a incluir a autorreprodução como um dos objetivos do atacante no treino do GPT-Red e espera que os futuros modelos lançados sejam mais robustos contra esses ataques [2] [1]. O The Register cita a OpenAI a dizer que encontrou casos de modelos GPT suscetíveis a «uma versão de IA de um ataque worm» [1].
Implicações para os utilizadores de Mac
O relatório diz respeito a agentes que leem conteúdo de várias fontes e podem agir sobre ele, e o exemplo do e-mail mostra o caminho mais claro: um agente que consegue ler e enviar correio recebe uma mensagem que lhe diz para reencaminhar a instrução [2]. Um utilizador de Mac só é afetado se executar um agente desse tipo com acesso a correio, ficheiros ou conversas. O relatório afirma que não foi observado nenhum incidente no mundo real, pelo que é uma capacidade documentada em condições de teste e não um ataque reportado [1] [2].
Recomendações
- Limitar o que pode fazer um agente que lê conteúdo não fiável. Um agente que lê correio não deve poder também enviar correio ou apagar ficheiros sem um passo de confirmação.
- Tratar o texto de e-mails, documentos partilhados e canais de conversa como não fiável, mesmo quando parece um aviso do sistema ou uma regra da casa [2].
- Rever as mensagens enviadas e as alterações a ficheiros que um agente produziu, sobretudo quando contêm texto que o utilizador não escreveu.
- Manter estreito o acesso do agente a contas e pastas e retirá-lo quando já não for necessário.
Relevância para a FireAI
A FireAI atua na camada de rede do Mac e não lê prompts, e-mails nem o conteúdo das ligações cifradas, pelo que não consegue reconhecer uma injeção de prompt nem impedir um modelo de a copiar. Também não controla o que um serviço de IA faz nos seus próprios servidores. Para uma app de agente no Mac, o filtro de rede identifica a app pela sua assinatura de código e uma app sem regra desencadeia um pedido, as regras por app podem restringir onde pode ligar-se e o Investigar mostra para onde vai uma ligação.
Limitações
Ambos os relatos assentam na investigação da própria OpenAI, e o artigo do arXiv para o qual o The Register remete não foi consultado para este texto. As fontes divergem em pormenores: a OpenAI refere checkpoints internos do GPT-5.4-mini e do GPT-5.5, enquanto o The Register menciona o treino do GPT-5.6, e o The Register descreve um conjunto de dados do Excel onde a página da OpenAI descreve um caso de sistema de ficheiros [1] [2]. Nenhuma das fontes indica com que frequência os ataques tiveram êxito, se os produtos lançados são afetados ou se agentes baseados em modelos que não os da OpenAI se comportam da mesma forma.
Experimente a FireAI, da HisnLabs gratuitamente durante 17 dias.