Uma sequência de incidentes envolvendo agentes de inteligência artificial (IA) nos últimos meses trouxe para o mundo real uma preocupação conhecida há anos por pesquisadores da área: sistemas treinados para atingir determinados objetivos podem desenvolver estratégias inesperadas, inclusive ultrapassando limites que seus criadores esperavam que fossem respeitados.
Diferentemente de chatbots tradicionais, os chamados agentes de IA são softwares capazes de executar tarefas de maneira autônoma. Para cumprir uma determinada missão, eles podem navegar na internet, executar programas, consultar bancos de dados e interagir com outros sistemas sem que cada etapa precise ser determinada por um ser humano.
Um dos episódios mais recentes ocorreu na Austrália. Em setembro de 2026, o primeiro-ministro Anthony Albanese revelou que um agente da OpenAI havia obtido acesso não autorizado ao portal de estatísticas do Medicare, sistema público de saúde australiano administrado pela Services Australia.
O incidente aconteceu em junho, enquanto uma equipe de pesquisa da OpenAI utilizava um modelo interno para procurar na internet informações sobre gastos públicos com medicamentos. Ao encontrar bloqueios, o agente, segundo Albanese, “encontrou uma maneira de contorná-los”.
De acordo com o governo australiano, o sistema acessou arquivos públicos e não públicos e chegou a gravar arquivos no servidor. Outros três órgãos públicos do país podem ter sido afetados pelo mesmo episódio.
Até o momento, não há evidências de que informações pessoais de pacientes tenham sido acessadas. As investigações, porém, continuam.
Incidentes envolvendo IA se multiplicaram
O caso australiano não foi um episódio isolado. Em julho de 2026, a OpenAI informou que, durante avaliações internas de cibersegurança realizadas meses antes, alguns de seus modelos conseguiram contornar controles criados para mantê-los isolados da internet.
Durante esses testes, os sistemas chegaram a comprometer partes da infraestrutura da própria OpenAI e da Hugging Face, uma das principais plataformas de compartilhamento de modelos de inteligência artificial.
Poucos dias depois, a Anthropic relatou ter identificado três situações em que modelos do Claude, sua ferramenta de IA, também durante testes de cibersegurança, conseguiram acessar a internet e obter acesso não autorizado a sistemas reais de outras organizações.
Há, porém, uma diferença importante nesses episódios. Testes desse tipo fazem parte da rotina de empresas do setor justamente para verificar se os modelos são capazes de explorar sistemas e medir riscos antes de disponibilizá-los ao público.
Nos casos da OpenAI e da Anthropic, os modelos estavam submetidos a menos proteções do que suas versões comerciais. No caso da Anthropic, uma configuração incorreta ainda deixou aberta uma conexão com a internet que deveria estar bloqueada.
O episódio na Austrália chama atenção justamente porque ocorreu em circunstâncias diferentes. Não se tratava de um teste de segurança, mas de uma tarefa comum de pesquisa.
A sequência de acontecimentos levanta uma questão central para o desenvolvimento da IA: por que um sistema, ao encontrar um obstáculo para cumprir uma tarefa, pode buscar alternativas que ultrapassam limites que seus desenvolvedores não esperavam que ele violasse?
A explicação não depende de imaginar uma máquina consciente, mal-intencionada ou movida por um suposto “instinto de sobrevivência”. O ponto de partida é mais simples: os sistemas modernos de IA são desenvolvidos para perseguir objetivos.
Como a IA aprende a buscar objetivos
Uma das técnicas utilizadas nesse processo é o aprendizado por reforço. Em vez de programar detalhadamente cada ação que a máquina deve executar, os desenvolvedores estabelecem um objetivo e atribuem algum tipo de recompensa quando o sistema obtém bons resultados.
A máquina experimenta diferentes possibilidades e, ao longo do processo, aprende quais estratégias aumentam essa recompensa.
O mecanismo pode ser comparado ao aprendizado de um jogo por tentativa e erro. Se uma pessoa recebe pontos sempre que se aproxima da vitória, tende a repetir as ações que funcionaram e abandonar aquelas que deram resultados ruins.
Um agente de IA realiza um processo semelhante, mas pode repetir as experiências milhões de vezes e explorar estratégias que jamais foram consideradas diretamente por um programador.
O aprendizado por reforço continua sendo relevante nos sistemas atuais, incluindo tecnologias utilizadas por empresas como OpenAI e DeepSeek. A técnica não é a única empregada no treinamento desses modelos, mas participa de etapas importantes para que eles desenvolvam estratégias capazes de resolver problemas mais complexos.
É justamente nesse processo que surge um dos principais desafios. O sistema aprende a perseguir aquilo que pode ser medido ou recompensado, mas o objetivo definido pelos desenvolvedores nem sempre representa perfeitamente a intenção humana que está por trás dele.
Estratégias inesperadas não são novidade
A capacidade de uma máquina encontrar soluções que seus criadores não programaram especificamente não surgiu com os atuais modelos de linguagem.
Em 2015, pesquisadores da DeepMind apresentaram na revista Nature o DQN, sistema que aprendeu a jogar 49 títulos do videogame Atari observando apenas as imagens da tela e a pontuação.
No jogo Breakout, em que o jogador precisa destruir uma parede de blocos com uma bola, o sistema descobriu uma estratégia particularmente eficiente: abrir um túnel em uma das laterais da parede para permitir que a bola chegasse à parte de trás dos blocos e destruísse vários deles sem precisar retornar imediatamente à raquete.
A estratégia não havia sido programada com uma instrução específica para “abrir um túnel”. O sistema descobriu que aquela alternativa aumentava sua pontuação de maneira mais eficiente.
Em 2016, outro exemplo ficou ainda mais conhecido. Durante o segundo jogo da histórica série entre o AlphaGo e o sul-coreano Lee Sedol, um dos maiores jogadores de Go do mundo, o sistema fez a chamada “jogada 37”.
A escolha foi tão incomum que surpreendeu comentaristas e especialistas. Posteriormente, o movimento se tornou um dos exemplos mais conhecidos da capacidade de sistemas de IA de encontrar estratégias que não seriam necessariamente escolhidas por seres humanos.
Nesses casos, a capacidade de encontrar caminhos inesperados foi celebrada. Afinal, quando o objetivo é claro — como vencer uma partida de Go ou obter a maior pontuação possível em um videogame — encontrar uma estratégia que não foi antecipada pelos programadores pode ser justamente uma demonstração de inteligência.
O problema aparece quando existe uma diferença entre a regra estabelecida para a máquina e a intenção humana que deveria orientar seu comportamento.
Como limitar agentes de IA
Uma das respostas está no próprio desenho técnico desses sistemas. Um agente não deveria receber mais acesso do que o necessário para realizar sua tarefa. Ambientes de teste precisam estar efetivamente isolados, enquanto ações capazes de produzir impactos relevantes podem exigir confirmação humana.
O acesso à internet e o uso de ferramentas também precisam ser monitorados. Além disso, sistemas desse tipo devem contar com mecanismos seguros para interromper ou abandonar uma tarefa quando a única maneira de concluí-la for ultrapassar os limites estabelecidos.
Os episódios recentes também reforçam a importância de testes independentes, auditorias e transparência no desenvolvimento da inteligência artificial.
No caso australiano, a OpenAI informou o governo somente em 10 de setembro, quase três meses depois do incidente. A comunicação ocorreu por meio de uma caixa de e-mail pública, procedimento que foi criticado por Anthony Albanese.
O episódio expõe um dos dilemas centrais da expansão dos agentes de IA: se as próprias empresas responsáveis pelo desenvolvimento dos sistemas concentram a decisão sobre como testá-los, quais comportamentos são aceitáveis e quais incidentes devem ser comunicados, uma parcela significativa da avaliação de riscos permanece nas mãos dos próprios desenvolvedores.