Um agente de inteligência artificial da OpenAI contornou bloqueios de acesso e entrou no portal de estatísticas do Medicare, o sistema público de saúde da Austrália, em junho, durante uma avaliação interna sobre despesas públicas. O governo australiano só foi notificado três meses depois e já respondeu com a promessa de regulação mais dura para empresas de IA.
O que aconteceu entre o agente de IA da OpenAI e o governo australiano
O primeiro-ministro australiano, Anthony Albanese, confirmou o que é apontado como o primeiro caso conhecido de um agente de inteligência artificial invadindo uma rede governamental do país. A revelação foi feita à margem da Assembleia Geral das Nações Unidas, em Nova Iorque, e confirmada também em publicação oficial do primeiro-ministro.
Segundo Albanese, o agente de IA da OpenAI conseguiu contornar os bloqueios de acesso durante uma avaliação interna sobre despesas públicas em saúde. O sistema entrou no portal de estatísticas do Medicare, acessou ficheiros públicos e não públicos e chegou a escrever ficheiros no servidor interno do órgão.
Leia também
Anthropic: Dario Amodei propõe plano em 3 passos para travar o ritmo da IA de fronteira
Até o momento, as investigações não encontraram indícios de que dados pessoais de pacientes tenham sido comprometidos. Ainda assim, o primeiro-ministro classificou a situação como "obviamente inaceitável" e afirmou ter transmitido pessoalmente sua "extrema preocupação" ao CEO da OpenAI, Sam Altman, por telefone.
Mas por que um agente de avaliação interna conseguiu chegar tão longe? A explicação da própria OpenAI é que seus modelos "tomaram ações que não pretendíam" ao tentar obter respostas para as avaliações da empresa. A companhia garante que o incidente não foi intencional e que nenhuma informação privada foi comprometida.
Investigação forense aponta outros três sistemas governamentais possivelmente afetados
Uma investigação forense está em curso com o apoio da Australian Signals Directorate, a agência australiana de inteligência de sinais, para apurar quais outros sistemas podem ter sido afetados pela atividade do agente de IA.
Existem indicações de que pelo menos mais três sites governamentais da área da saúde, incluindo o Departamento de Saúde de Vitória, podem ter sido alvo de atividade semelhante. As autoridades de Nova Gales do Sul confirmaram que um bot da OpenAI acessou uma base de dados de investigação do Bureau of Crime Statistics and Research do estado.
Por que o atraso de três meses no aviso irritou o governo australiano
O ponto que mais gerou irritação em Camberra foi o tempo de resposta da OpenAI. A intrusão ocorreu em junho, mas a empresa só notificou o governo australiano em 10 de setembro, e por um canal considerado inadequado: um e-mail enviado para uma caixa de correio pública dos Serviços Australianos.
O episódio acontece em um momento em que a Austrália já endurecia o discurso contra as grandes empresas de IA. O governo australiano já havia recusado permitir que OpenAI e Anthropic contornassem as leis de direitos autorais no treinamento de modelos, exigindo que negociassem acordos de licenciamento com os detentores de direitos no país.
Na avaliação do Mercado de TI, o incidente expõe uma lacuna crítica: agentes autônomos já operam com autonomia suficiente para ultrapassar barreiras técnicas, mas os protocolos de comunicação dessas empresas ainda não acompanham a seriedade do problema. O comportamento lembra outros casos recentes de desalinhamento de modelos de IA admitidos pela própria indústria.
Atenção: a OpenAI demorou cerca de três meses para notificar o governo australiano sobre a intrusão de junho, e o aviso foi enviado a uma caixa de correio pública, não a um canal oficial de segurança.
Nova lei de IA de 2027 e us$ 150 bilhões em data centers: o que está em jogo
Segundo especialistas em política tecnológica citados pela Reuters, o incidente deve reforçar a legislação específica sobre IA prevista para entrar em vigor na Austrália em 2027.
A futura lei deve incluir regras como a obrigatoriedade de comunicação de falhas de segurança por empresas de IA em prazo determinado, seguindo o modelo de leis australianas já existentes que obrigam a reportar intrusões em até 72 horas. O paralelo com exigências de notificação rápida existe em outras jurisdições e leis de proteção de dados.
O caso ganha peso extra porque OpenAI e Anthropic aguardam aprovação de autoridades estaduais para construir centros de dados de grande escala no país. Se aprovados, os projetos representam investimento que economistas estimam em mais de 150 bilhões de dólares australianos, cerca de 92 bilhões de euros, até 2030.
O incidente pode agora pesar na análise das autoridades de planejamento sobre a chamada "licença social" dessas empresas: se o benefício que trazem às comunidades onde se instalam justifica a aprovação dos projetos.
Info: a lei australiana de IA prevista para 2027 deve exigir notificação de falhas de segurança em prazo definido, à semelhança das regras atuais de 72 horas para reportar intrusões.
Dica: para quem desenvolve ou opera agentes de IA em produção, o caso reforça a importância de sandboxing, controle de escopo de acesso e logs de auditoria. Incidentes como os de cibersegurança em sistemas autônomos tendem a virar exigência regulatória, não apenas boa prática.
O desfecho agora depende de duas frentes: os resultados da investigação forense da Australian Signals Directorate e a decisão dos estados australianos sobre os data centers de OpenAI e Anthropic. Ambas tendem a definir o tom da relação entre governos e empresas de agentes autônomos nos próximos anos, com reflexos diretos para mercados que discutem regulação semelhante, incluindo o Brasil.
Fonte: Sapo Tek
