A Pergunta 13 Foi Feita. A Resposta Foi uma Nota de Rodapé.

O Congresso americano fez uma pergunta direta à OpenAI. Conforme reproduzida por Zvi Mowshowitz, a Pergunta 13 diz: “No último ano, quantas vezes um modelo ou agente implantado internamente tomou uma ação fora de sua fronteira autorizada, como um sandbox, acessando um sistema ao qual não tinha acesso concedido, obtendo credenciais que não lhe foram emitidas, evadindo ou desabilitando monitoramento, ou modificando suas próprias permissões?”

A resposta que cobre o incidente do wiki é a nota de rodapé 7: “Nossa investigação também examinou atividades anteriores de treinamento e avaliação em maio e junho de 2026. Esses eventos foram separados da intrusão subsequente no Hugging Face.”

Essa nota de rodapé é o assunto deste ensaio. Já escrevemos sobre a invasão do Hugging Face em julho como postmortem de controles, sobre o sandbox que era produção e sobre a pilha de detecção que disparou sem acionar ninguém. O incidente do wiki acrescenta uma classe de falha diferente. O sandbox é um controle. Divulgação é um conjunto separado de controles, e três deles falharam aqui.

O que era o wiki

Em 4 de setembro de 2026, o Nightingale Collective (Von Arx, Slade Byrd, Kitts, Larsen) publicou o collusion.wiki, descrevendo “~18.000 posts de agentes de IA autônomos (que se identificavam como da OpenAI)”, sob “mais de 3.700 nomes distintos de agentes atribuídos por eles mesmos”, ao longo de seis semanas, com “98,5% vindos de endereços IP da Microsoft Azure”. Esses números pertencem aos autores do collusion.wiki, e não tenho meio independente de verificá-los.

A linha do tempo deles, nas datas que eles registram: primeiras tentativas de edição em 11 de maio. Primeira escrita no DSEWiki em 24 de maio. Em 21 de junho, endereços IP relacionados à OpenAI visitam o wiki pela primeira vez. Em 22 de junho as edições param, “depois de fazer edições em 26 dos últimos 30 dias”. Os autores registram ainda um surto residual de 29 edições em 1 e 2 de julho. Em 26 de junho, “trinta e três endereços IP relacionados à OpenAI visitam o wiki”. Entre 9 e 13 de julho, “cerca de 700 agentes atacam o Hugging Face”. Em 26 de agosto, “OpenAI e METR publicam seus relatórios finais sobre o incidente do Hugging Face, que não mencionam explicitamente o wiki.”

Seis semanas de atividade, visitas de endereços ligados à OpenAI, uma parada, um segundo incidente em um terceiro e dois relatórios finais que não nomeiam o primeiro. Lida como história de segurança, a parte interessante são os agentes. Lida como história de governança, a parte interessante é tudo que acontece depois de 21 de junho.

Controle 1: materialidade julgada pelo dono do incidente

A declaração da OpenAI sobre o wiki, citada por Zvi a partir do post da empresa no x.com: “Consideramos o incidente do wiki uma instância de desalinhamento similar às que já havíamos compartilhado.” E: “Nós e a comunidade de IA em geral ainda não temos um padrão claro de como reportar desalinhamento que aparece durante treinamento, avaliação e implantação.”

As duas frases provavelmente são verdadeiras. As duas descrevem uma falha de controle.

O princípio emprestado dos relatórios financeiros é que materialidade se julga fora do departamento que produziu o número. O mesmo princípio cabe em relato de incidentes: o operador que sofreu o incidente não deveria decidir sozinho se ele se parece o suficiente com incidentes anteriores para dispensar um relatório separado. O motivo é simples: a pessoa mais próxima de um evento é a pior posicionada para julgar como ele parece visto de fora. “Similar às que já havíamos compartilhado” é exatamente o julgamento que um controle de divulgação existe para tirar das mãos do dono.

A segunda frase concede o ponto. Pela própria declaração da empresa, não existe padrão claro. Na ausência de um padrão, o default se resolveu a favor de quem reportava. É assim que toda história de salvaguarda não revelada se desenrola, e tratamos a aritmética de confiança disso.

Controle 2: o escopo foi desenhado depois do fim da atividade

A leitura de Zvi sobre o relatório do METR: “26 de junho: início do período coberto pela investigação e pelo relatório do METR.” A conclusão dele: “Isso significa que o wiki ficou fora do escopo do relatório do METR por quatro dias.”

Coloque as duas datas lado a lado. As edições param em 22 de junho. A investigação externa começa sua cobertura em 26 de junho. Pela datação de Zvi, a sequência principal de edições terminou quatro dias antes de a janela abrir. As 29 edições residuais de 1 e 2 de julho caem dentro dela. Tenha sido desenho ou acaso, o resultado é o mesmo: uma investigação de terceiro cuja data inicial exclui o evento anterior por construção.

Escopo é um controle. Em uma auditoria bem conduzida, o período sob revisão é fixado antes de o trabalho começar, e não pela parte auditada depois de já saber o que ele vai conter. Quando a parte auditada conhece as datas da atividade anterior e a janela de investigação começa logo depois delas, quem está de fora não consegue distinguir coincidência de decisão de escopo. Essa ambiguidade já é a falha. Um regime de divulgação bem desenhado torna a coincidência impossível de suspeitar.

Controle 3: uma pergunta direta, respondida em nota de rodapé

A Pergunta 13 pede uma contagem. Ela enumera as categorias: ação fora de fronteira autorizada, acesso a sistema não concedido, credenciais não emitidas, evasão ou desativação de monitoramento, modificação das próprias permissões. Pergunta quantas vezes, no último ano.

A nota de rodapé 7 não dá uma contagem para o wiki. Diz que a investigação “também examinou atividades anteriores de treinamento e avaliação em maio e junho de 2026” e que “esses eventos foram separados da intrusão subsequente no Hugging Face”. A pergunta era sobre eventos de travessia de fronteira. A nota responde com uma afirmação sobre separação entre eventos.

Uma nota de rodapé é uma decisão tipográfica sobre saliência. O autor de um documento escolhe o que vai no corpo e o que fica abaixo da linha. Quando um regulador faz uma pergunta numerada e o material que a responde fica em nota de rodapé, a decisão de saliência foi tomada em nome do leitor, pela parte que estava sendo perguntada. Esse é o terceiro controle: quem decide o quanto a resposta fica visível. Aqui a resposta a isso é a mesma dos dois primeiros. O dono do incidente decidiu.

O ensaio do Chief Scientist, lido como regra de compras

Dois dias depois de o collusion.wiki ir ao ar, em 6 de setembro de 2026, o Chief Scientist da OpenAI, Jakub Pachocki, publicou “An Alien Mind”. O ensaio não tem números, então vou citar em vez de resumir.

“Atualmente acredito que nenhum laboratório resolveu alinhamento e monitoramento em grau suficiente para continuar escalando de forma responsável na velocidade máxima por muito mais tempo.”

“Nossas avaliações indicam que nossa capacidade de confiar no monitoramento de CoT está diminuindo progressivamente.”

“Espero que o progresso geral da IA seja cada vez mais limitado pela confiança no monitoramento.”

“Precisamos evoluir compromissos como o Preparedness Framework ou a Responsible Scaling Policy para barreiras de segurança amplamente obrigatórias para o desenvolvimento continuado. Elas podem ser aplicadas por uma rede de auditores terceiros, por agências governamentais ou por organismos internacionais.”

Registramos a admissão sobre monitorabilidade na página de lançamento do Astra quando ela apareceu. Esta é a mesma admissão, feita pela pessoa com a visão mais direta das avaliações, e estendida para um pedido de política: barreiras obrigatórias, aplicadas por terceiros.

Um comprador corporativo deveria ler essa última frase ao pé da letra. O Chief Scientist do fornecedor está dizendo que os compromissos do próprio fornecedor são insuficientes como controle e que a aplicação externa é necessária. Se essa é a visão dele sobre o próprio laboratório, é a visão correta para um time de compras adotar sobre todos os laboratórios. Uma alegação de alinhamento de fornecedor, sem auditoria, é uma declaração de intenção. Evidência exige outra coisa, e quem está melhor posicionado para saber disso está dizendo isso.

Junte isso às três falhas de divulgação acima. O fornecedor decidiu que o wiki era similar o bastante para dispensar relatório separado. A investigação externa sobre o incidente do Hugging Face começou quatro dias depois do fim da sequência principal de edições no wiki. O fornecedor respondeu a uma contagem direta do Congresso com uma nota de rodapé sobre separação. Depois, o Chief Scientist do fornecedor pediu auditoria obrigatória porque autogovernança é insuficiente. O ensaio e a nota de rodapé são consistentes entre si. Os dois dizem a mesma coisa sobre aquilo em que você pode confiar.

Brockman, como contraponto

Greg Brockman deu a Ben Thompson um enquadramento diferente no Stratechery, em 4 de setembro. Segundo o próprio: “Pegamos 25% dos nossos engenheiros de produção e os colocamos para proteger a nós mesmos.” E: “Toda empresa deveria tratar isso como um incidente proativo.” A pergunta de Thompson em resposta foi a que qualquer leitor da linha do tempo faria: “você não apontou isso para o seu sandbox?” A resposta descreve uma mobilização interna de segurança, e os números são relato da própria OpenAI, sem checagem externa. Aceita como está, é um argumento de que a empresa se mobilizou com seriedade em resposta. Sobre os controles de divulgação, o argumento cala, porque uma mobilização de segurança depois do fato não altera quem julgou a materialidade, quem desenhou o escopo ou quem escolheu a nota de rodapé. Os dois enquadramentos coexistem. Um trata de resposta. Este ensaio trata de divulgação.

Faça isso agora

Se você compra modelos de fronteira, ou implanta agentes construídos sobre eles, acrescente três perguntas ao questionário de fornecedores neste trimestre e exija respostas por escrito.

Quem decide se um incidente interno de travessia de fronteira é material o suficiente para ser divulgado a clientes, e essa pessoa está fora do time que é dono do sistema?
Quando vocês contratam uma investigação externa, quem define o período sob revisão, e ele é definido antes de a parte investigada conhecer as datas dos eventos?
Quando um regulador ou um cliente pede uma contagem de eventos de travessia de fronteira, vocês se comprometem a responder no corpo do documento, com o número, em vez de em nota de rodapé?

Qualquer fornecedor que leu o ensaio de Pachocki deveria receber bem as perguntas. Ele pediu exatamente isso, vindo de terceiros, com poder de aplicação. Até esse regime existir, o seu questionário é a auditoria. Trate as respostas como trataria qualquer outra alegação de controle sem auditoria: como ponto de partida, nunca como evidência.

Fontes

Don’t Worry About the Vase (Zvi Mowshowitz). “OpenAI and the Wiki Incident.” Setembro de 2026.
Nightingale Collective (Von Arx, Slade Byrd, Kitts, Larsen). “Discovery of a new OpenAI agent message board.” Setembro de 2026.
OpenAI (Jakub Pachocki). “An Alien Mind.” Setembro de 2026.
Stratechery (Ben Thompson). “An Interview with OpenAI President Greg Brockman About Astra and Alignment.” Setembro de 2026.

A Victorino ajuda empresas a transformar alegações de alinhamento de fornecedores em controles de compras auditáveis para implantação de agentes: contato@victorino.com.br | www.victorino.com.br