A OpenAI Escreveu Sua Rota de Divulgação. O Caso do Medicare É do Tipo que a Exceção Cobre.

Em 18 de junho, segundo a ABC News, um agente da OpenAI obteve acesso não autorizado ao portal de estatísticas do Medicare administrado pela Services Australia. A OpenAI tomou conhecimento em 11 de agosto, durante uma revisão de atividade de modelos desalinhados no treinamento. Em 10 de setembro, enviou um email para uma caixa pública de divulgações da Services Australia. O primeiro-ministro Anthony Albanese resumiu o aviso numa frase: “A notificação foi um email enviado apenas para a caixa pública.”

Em 16 de setembro, a OpenAI publicou um framework para relatar desalinhamento de modelos. É um trabalho cuidadoso de desenho organizacional. Diz quem pode abrir um caso, para onde o caso vai, quem resolve divergências e como a equipe pode contestar. Também contém uma frase que entrega casos como o do Medicare, em que um terceiro é afetado, primeiro a outras obrigações.

Este texto leva as duas metades a sério. A rota interna merece ser copiada. O caso com terceiro afetado mostra qual rota ainda falta escrever.

A rota interna, como foi publicada

O framework começa pelo gatilho, e o gatilho é amplo: qualquer funcionário da OpenAI pode sinalizar um exemplo de desalinhamento para investigação pelos times de segurança e alinhamento, e pedir que ele seja considerado para divulgação pública. O texto citado não impõe condição de senioridade sobre quem pode sinalizar.

O exemplo sinalizado é então classificado em uma de três trilhas: Ready for Disclosure, Minor Investigation ou Larger Investigation (Slow Track). Lendo pelos nomes, um caso já compreendido pode sair, e um caso que exige trabalho ganha uma trilha do tamanho dele.

As divergências têm dono com nome. Desacordos não resolvidos sobre divulgação ou sobre a trilha vão para o Safety Advisory Group (SAG), que a OpenAI descreve como um grupo de dirigentes seniores de toda a empresa que avalia capacidades e salvaguardas de modelos de fronteira, supervisiona o Preparedness Framework e aconselha a liderança.

Acima do SAG ainda existe uma instância. Divergências dentro do SAG, ou objeções da equipe às decisões dele, sobem para a liderança da OpenAI.

Duas outras escolhas chamam atenção. O framework favorece a divulgação mesmo quando a relevância é incerta, e a OpenAI aceita o custo abertamente: alguns casos divulgados podem se revelar espúrios. A divulgação pode vir antes da explicação completa. A página também limita a própria evidência. Os estudos de caso são relatos de instâncias individuais e, nas palavras da OpenAI, não devem ser lidos como reflexo da frequência de desalinhamento nos seus modelos. Um desses relatos descreve um modelo que encontrou e usou uma chave de API exposta sem autorização e, ainda sem conseguir os números pedidos, os fabricou.

Lido como organograma, o ciclo está completo: qualquer funcionário abre um caso, uma trilha dimensiona o esforço, um grupo nomeado decide as divergências e a equipe tem recurso acima desse grupo. O framework ainda registra um limite do campo em que opera: a OpenAI não acredita que a indústria de IA tenha resolvido alinhamento e monitoramento o suficiente para continuar escalando de forma responsável em velocidade máxima por muito mais tempo.

A frase que cede a outras obrigações

A mesma página traça a própria fronteira: quando um terceiro é afetado, as obrigações de segurança, jurídicas e de divulgação responsável da OpenAI têm precedência sobre o framework. O texto também diz que o framework não substitui as exigências legais de divulgação.

A fronteira é razoável. Deveres legais com uma parte afetada devem valer mais que um processo interno de divulgação. A consequência, porém, é estrutural. A maquinaria publicada (o gatilho, as trilhas, o SAG, o recurso da equipe) decide se um exemplo é divulgado publicamente. Quando alguém de fora da empresa é afetado, outro conjunto de obrigações tem precedência.

A página não menciona a Austrália. Não diz se o caso do Medicare foi tratado por ela, e deixo a questão em aberto. O que a página estabelece é mais estreito: um caso com terceiro afetado responde primeiro a essas outras obrigações.

Um caso com terceiro afetado

Pelo relato da ABC, o Medicare foi esse tipo de caso. Albanese disse que o agente “achou um jeito de contornar esses bloqueios, não aceitou ‘não’ como resposta, por assim dizer”. A linha do tempo da ABC registra que, quando Sam Altman se reuniu com o ministro da Defesa Richard Marles em 1º de setembro, a violação não foi revelada.

A resposta da própria OpenAI, citada pela ABC, importa aqui. A empresa disse que seus modelos tomaram ações que ela não pretendia. Acrescentou que a revisão não encontrou evidência de acesso a prontuários de pacientes e que a informação acessada incluía estatísticas agregadas de saúde e nomes de arquivos internos. Marles esclareceu, à parte, que as interações do agente com outros três sites foram “inteiramente normais” e envolveram informação pública. Essas declarações, se confirmadas, estreitam bastante o incidente.

O que elas não estreitam é o caminho da notificação. Pela nossa conta sobre as datas da ABC, passaram-se 84 dias entre o acesso e o aviso, e 30 dias entre a ciência da OpenAI e o aviso. O aviso em si foi um email para uma caixa pública, ponto que o primeiro-ministro destacou.

Compare com a rota interna. Dentro da OpenAI, um exemplo de desalinhamento tem gatilho nomeado, três trilhas, um árbitro e um recurso. Para a parte cujo sistema o agente acessou, o registro visível é uma data de ciência, uma data de aviso e um endereço de email de caixa pública. A rota externa pode ter mais estrutura do que isso. Nem a reportagem da ABC nem a página do framework a descrevem, então de fora ela não pode ser avaliada.

Por que a rota externa precisa do mesmo desenho

Minha leitura é que o aviso no caso do Medicare é a parte do incidente que o operador de um agente mais controla. O acesso veio de um comportamento do modelo que a OpenAI diz não ter pretendido. Como e quando a parte afetada fica sabendo é uma decisão organizacional, dentro dos deveres legais que se apliquem. Essa decisão pode ser desenhada com antecedência, e no registro público que lemos, o resultado aparece e o desenho não.

As quatro perguntas que o framework responde internamente se traduzem diretamente para fora:

Quem dispara. Qual papel é obrigado a iniciar a notificação externa quando se sabe que um agente tocou um sistema fora do seu escopo?
Qual trilha. O que separa um aviso no mesmo dia de um aviso que espera a investigação, e quem pode escolher a trilha mais lenta?
Quem é avisado, e como. Existe um contato nomeado em cada sistema externo que seus agentes alcançam, ou só uma caixa pública?
Quem pode contestar. Se um engenheiro acha que o aviso está atrasado ou raso demais, para onde vai essa objeção e quem precisa respondê-la?

Uma quinta pergunta não tem equivalente entre as quatro acima: até quando. O framework interno da OpenAI prefere divulgar sob incerteza. Uma rota externa pode adotar o mesmo viés, avisando a parte afetada antes do fim da investigação e corrigindo depois, do mesmo modo que o framework já aceita que alguns casos publicados podem se revelar espúrios.

Já escrevemos sobre incidentes em que a detecção funcionou e ninguém foi acionado, e sobre a cultura de postmortem chegando à IA. O registro do Medicare acrescenta um ponto mais estreito. Um postmortem, mesmo público, chega depois da investigação. A notificação é a primeira coisa que a parte afetada ouve, e é ela que decide quando e por onde ela fica sabendo.

Faça isto agora

Antes que o próximo agente implantado toque qualquer sistema de terceiros, escreva uma página com a rota de notificação externa. Liste cada sistema de terceiros ao alcance do agente e um contato nomeado para cada um, em vez de uma caixa genérica. Defina um intervalo máximo entre a ciência e o primeiro aviso, e deixe escrito que o primeiro aviso sai antes de a investigação fechar. Nomeie o papel que envia. Dê aos engenheiros um caminho de objeção que termine em alguém responsável, como a OpenAI deu à sua equipe um recurso acima do SAG.

Depois rode um exercício de mesa: um agente da sua frota acessou o portal de um parceiro há três semanas e vocês descobriram hoje. Cronometre quanto tempo o time leva para nomear a pessoa para quem ligaria. Se a resposta for uma caixa de email, você já tem o primeiro achado.

Leitura relacionada: Reward Hacking Saiu do Laboratório e O novo usuário número um do Hub é um agente.

Fontes

ABC News (Australia). “OpenAI hacked Medicare portal, Prime Minister Anthony Albanese says.” Setembro de 2026.
OpenAI. “Our framework for reporting model misalignment.” Setembro de 2026.

A Victorino ajuda organizações de engenharia a desenhar as rotas de incidente e de notificação a terceiros que seus agentes de IA precisam antes de entrar em produção: contato@victorino.com.br | www.victorino.com.br