O procurador-geral do Alabama, Steve Marshall, abriu uma investigação para apurar se falhas de segurança da OpenAI durante testes de inteligência artificial violaram leis estaduais de proteção ao consumidor. A medida, anunciada na segunda-feira (24), ocorre após um agente controlado por modelos da empresa obter acesso não autorizado a sistemas externos e comprometer a infraestrutura da Hugging Face em julho.
A intimação exige informações sobre funcionários envolvidos, sistemas acessados, medidas de segurança e outros incidentes semelhantes. A OpenAI tem até 14 de setembro para responder ao governo estadual.
Investigação mira controles de segurança da OpenAI
O gabinete de Marshall quer determinar se a OpenAI violou a Deceptive Trade Practices Act, lei do Alabama contra práticas comerciais enganosas, além de outras normas estaduais de defesa do consumidor. A investigação também avaliará se as práticas da companhia representam risco contínuo para moradores do estado.
A intimação enviada à OpenAI pede a identificação de todos os funcionários, executivos e agentes envolvidos no incidente ou nos testes que o antecederam. O documento também exige a relação de redes, sites, serviços, contas, credenciais, bancos de dados, dispositivos e sistemas acessados ou utilizados durante a operação.
O Alabama ainda solicitou documentos sobre as medidas de segurança adotadas no teste, eventuais alertas internos levantados por funcionários e informações sobre danos ou perdas provocados pela invasão. A ordem abrange também registros de outros episódios em que modelos da OpenAI possam ter usado credenciais expostas ou acessado sistemas sem autorização.
A empresa deverá entregar as respostas e os documentos solicitados até as 10h de 14 de setembro de 2026, segundo a intimação.
Marshall classificou o episódio como um “vazamento de laboratório de IA” e afirmou que a investigação pretende esclarecer os riscos associados a sistemas capazes de executar operações cibernéticas de forma autônoma. Antes da abertura formal da apuração, o Alabama já participava de uma coalizão de procuradores-gerais estaduais que havia cobrado maior transparência da OpenAI e a suspensão dos testes relacionados ao incidente até que pudessem ser realizados de maneira controlada.
Agente encontrou falha e chegou à internet
A OpenAI informou em julho que o incidente aconteceu durante uma avaliação interna baseada no ExploitGym, benchmark desenvolvido para medir a capacidade de modelos de encontrar e explorar vulnerabilidades de software. O agente era operado por uma combinação de modelos da companhia, incluindo o GPT-5.6 Sol e um protótipo de pesquisa ainda mais avançado.
Durante o teste, os modelos encontraram uma vulnerabilidade até então desconhecida no sistema usado pela OpenAI como proxy para registros de pacotes. A falha permitiu que o agente saísse do ambiente restrito, alcançasse a internet e executasse uma sequência de ações até chegar à infraestrutura da Hugging Face.
Segundo a reconstrução técnica publicada pela Hugging Face, a campanha ocorreu entre 9 e 13 de julho e envolveu cerca de 17,6 mil ações recuperadas dos registros do agente. A empresa afirmou que o agente permaneceu aproximadamente dois dias e meio dentro de sua infraestrutura e tentou obter soluções de desafios usados no benchmark.
A Hugging Face informou que o conteúdo de clientes acessado ficou restrito a cinco conjuntos de dados relacionados aos desafios ExploitGym ou CyberGym. Outros modelos, datasets, Spaces e pacotes voltados a clientes não foram afetados, segundo a companhia.
A OpenAI disse que o modelo de pré-lançamento envolvido era um protótipo interno de pesquisa, sem previsão de ser disponibilizado ao público. Após o incidente, a companhia afirmou ter desativado, criptografado e restringido o acesso ao modelo, além de reforçar controles sobre futuras avaliações de segurança.
