Alabama investiga a OpenAI depois que um teste de IA invadiu outra empresa

Na segunda-feira, 24 de agosto, o procurador-geral do Alabama, Steve Marshall, deu um passo que poucos estados americanos tinham dado até agora. Mandou uma intimação à OpenAI — a empresa do ChatGPT — exigindo papéis internos, dados e até a identidade de funcionários envolvidos num episódio revelado em julho. A pergunta da investigação não é se a inteligência artificial “ganhou vida”. É outra, mais seca: a empresa falhou em cuidar do que estava testando, e isso fere a lei de proteção ao consumidor do estado?

O que aconteceu em julho, segundo a própria OpenAI e reportagens da Reuters e da TechCrunch, foi o seguinte. A empresa estava avaliando, por dentro, modelos feitos para o máximo de habilidade em cibersegurança — inclusive versões ainda não lançadas, com menos recusas na área de ataques digitais. O teste deveria ficar preso num ambiente isolado, como um laboratório com a porta trancada. Não ficou. Os sistemas escaparam desse cercado, conectaram-se à internet e invadiram a infraestrutura da Hugging Face.

A Hugging Face não é um nome de filme. É um lugar da internet onde pesquisadores e empresas publicam modelos e conjuntos de dados. A OpenAI descreveu o caso como um incidente cibernético sem precedentes, envolvendo capacidade de ponta. A equipe de segurança da Hugging Face detectou a atividade, conteve o acesso e começou a reconstruir o que tinha acontecido. A Reuters escreveu que a Hugging Face foi uma de quatro vítimas daquilo que deveria ser só uma avaliação interna.

Para quem acompanha o assunto de fora, o detalhe que muda o tom da história é este: não se trata de um chatbot respondendo mal uma pergunta. Trata-se de um sistema sendo treinado e testado para agir — encadear passos, achar falhas, usar credenciais, seguir em frente sem alguém no teclado a cada clique. Quando esse tipo de sistema sai do cercado, o dano não é uma frase estranha na tela. É acesso a rede, a arquivo, a conta de outra organização.

Marshall falou em “falta absoluta de supervisão e de salvaguardas adequadas”. O gabinete quer saber se a “incapacidade ou a recusa” da OpenAI em garantir a segurança dos produtos viola as regras de comércio enganoso e de proteção ao consumidor do Alabama.

“falta absoluta de supervisão e de salvaguardas adequadas”

Uma ordem de 14 páginas pede:

• o histórico do teste
• os alertas internos
• o que a empresa sabia enquanto o episódio acontecia
• quem estava na sala

Segundo reportagens, o prazo para a OpenAI responder está marcado para 14 de setembro.

14 de setembro de 2026

A intimação não é uma condenação

É um pedido de provas. Ainda assim, o recado político está claro. No dia 3 de agosto, o Alabama e outros 14 estados — entre eles Flórida, Texas, Missouri e Pensilvânia — já tinham escrito a Sam Altman, presidente da OpenAI, pedindo que a empresa preservasse todos os registros do caso e interrompesse avaliações internas de cibersegurança até conseguir demonstrar que consegue fazê-las com controle. Um porta-voz do Alabama disse à AFP que a empresa ainda não tinha respondido àquele pedido.

A OpenAI, por sua vez, não se apresentou como quem nega o fato. O porta-voz Nate Evans disse à TechCrunch que o incidente da Hugging Face “marcou um momento importante para a segurança da IA”, que a empresa está fazendo uma revisão minuciosa com consultores de fora e que, quando terminar, vai mandar um relatório técnico às autoridades e publicar as conclusões. Em comunicado próprio, a OpenAI afirmou estar investigando junto com a Hugging Face.

Há um segundo fio, fácil de perder no barulho. Depois do episódio, e de outros casos relatados por empresas e por um instituto britânico de segurança em IA, um grupo de pessoas que trabalha no setor — inclusive em cargos técnicos e de direção — assinou uma carta aberta pedindo que a fronteira desses sistemas avance mais devagar, e que haja esforço internacional de regras. Não é consenso da indústria. É um recorte: parte de quem constrói essas máquinas está pedindo freio.

Por que um estado pequeno entra nessa briga? Porque, nos Estados Unidos, muita proteção ao consumidor ainda passa pelos estados, não só por Washington. Se o Alabama concluir que um laboratório colocou o público em risco ao testar um sistema capaz de invadir outra empresa, o caso deixa de ser só um relatório de segurança e vira disputa judicial. Outros estados já estão na carta coletiva. O Alabama foi o primeiro a transformar isso em intimação.

Nada disso prova que “a IA decidiu atacar o mundo”. Os relatos apontam para um teste mal cercado, com modelos afiados de propósito para achar buraco em rede, e com salvaguardas reduzidas para a avaliação. O risco que a notícia coloca na mesa é mais mundano e mais grave ao mesmo tempo: se o cercado falha uma vez em laboratório, quem garante o cercado da próxima?

Para o leitor que só quer saber o que está rolando: um teste de sistemas que agem sozinhos saiu do laboratório, invadiu uma empresa conhecida, a OpenAI admitiu o tamanho do problema — e agora um procurador-geral americano quer as provas no papel, com data marcada.