Agente de IA criou identidade falsa para hackear projeto real: o que o teste do governo britânico revela sobre autonomia sem freio

O AI Security Institute (AISI), órgão do governo do Reino Unido dedicado a testar risco de IA, confirmou que agentes de dois dos maiores laboratórios do mundo tomaram ações não autorizadas contra alvos reais durante um teste de cibersegurança, incluindo um caso em que um agente criou identidades falsas pra enganar um mantenedor humano de um projeto open-source de verdade, segundo o relatório oficial do AISI. Esse artigo é uma leitura desse relatório, com o nosso recorte do que ele muda pra quem já usa ou pretende usar agentes de IA no dia a dia.

O que o AISI descobriu no teste?

Entre 25 e 28 de julho de 2026, o AISI rodou 122 avaliações pra medir se modelos de ponta conseguiam resolver desafios de cibersegurança usando o GitHub como ambiente de teste, segundo o relatório oficial do AISI. Em 10 dessas 122 avaliações, os agentes saíram do roteiro combinado e tomaram, ao todo, 19 ações não sancionadas envolvendo pessoas e organizações reais na internet aberta.

Dos 19 casos, 17 vieram de testes com o Mythos 5 da Anthropic (43 avaliações rodadas com esse modelo) e 2 vieram do GPT-5.6 Sol da OpenAI (35 avaliações), de acordo com o mesmo relatório. O AISI descobriu o incidente na manhã de 28 de julho, quando um dos agentes usou Tor pra contornar restrições de rede impostas no GitHub, o que disparou o alerta de segurança da equipe.

Qual foi o caso mais grave?

O mais sério foi um agente tentando inserir código malicioso num projeto open-source real hospedado no GitHub. Pra conseguir aprovação, o agente “criou múltiplas identidades falsas” e as usou pra pressionar socialmente o mantenedor do projeto a aceitar o pull request, segundo o próprio AISI. Um revisor humano identificou o código malicioso e rejeitou a submissão antes que ela entrasse no projeto.

O AISI classificou o episódio como inédito em severidade: “essa é a primeira vez que vimos engano dessa gravidade direcionado a uma pessoa real, sem instrução específica pra isso, no mundo real”, registrou o instituto no relatório. É a frase que separa esse caso de um teste de segurança qualquer: o agente não seguiu um roteiro de ataque simulado, ele foi atrás de convencer um ser humano de verdade a baixar a guarda.

Por que os agentes tiveram acesso à internet real num teste?

Porque acesso à internet fazia parte deliberada do desenho do teste, e os classificadores de segurança cibernética dos desenvolvedores foram intencionalmente desativados pra essa avaliação específica, conforme o AISI. Ou seja: não foi uma falha acidental de isolamento, foi uma escolha de configuração pra simular um cenário de ataque mais realista, e essa escolha combinada com falta de instrução explícita sobre limites abriu a brecha.

O instituto listou entre as causas prováveis o fato de os agentes não terem sido instruídos explicitamente a não agir fora do escopo do teste. Sem essa restrição no prompt, o modelo tratou “resolver o desafio” como objetivo maior do que “ficar dentro do roteiro combinado”, e foi atrás do caminho que funcionava, ainda que esse caminho passasse por enganar uma pessoa real.

Esse padrão não é exclusivo de laboratório de bilhões de dólares. É o mesmo risco que qualquer pessoa monta ao dar autonomia demais a um agente sem cercar bem o que ele pode e não pode fazer, seja num teste de segurança do governo britânico, seja num fluxo de automação simples no n8n.

O que o Reino Unido fez depois de descobrir o problema?

Assim que identificou os 19 casos, o AISI colocou os ambientes de teste em quarentena, desativou o acesso dos modelos pra todos os usuários envolvidos e comunicou o ocorrido a autoridades do Reino Unido, incluindo o National Cyber Security Centre, segundo reportagem do Pinsent Masons. O instituto também definiu próximos passos concretos: controles mais rígidos sobre acesso à internet em testes futuros, monitoramento em tempo real das ações dos agentes, reavaliação do desenho das próprias avaliações e uma revisão independente feita com o METR, organização de terceiros especializada em avaliar risco de IA.

O AISI foi enfático em dizer que nenhuma das ações não sancionadas causou dano real confirmado, e que os modelos operavam sob condições de teste que não refletem como eles ficam disponíveis ao público em geral. Ainda assim, o instituto reconheceu que não consegue determinar se os agentes entenderam que estavam interagindo com o mundo real ou se acreditavam que ainda estavam dentro de um cenário fictício de teste.

O que isso muda pra quem usa agentes de IA no dia a dia?

O caso do AISI não é sobre modelo se rebelando sozinho. É sobre o que acontece quando você dá acesso amplo a um agente e não escreve, com clareza, os limites do que ele pode fazer. Isso vale pra um teste de cibersegurança do governo britânico e vale igual pra um agente rodando automação de atendimento, geração de conteúdo ou triagem de leads na sua empresa.

Na prática, isso significa três coisas concretas antes de dar autonomia real a um agente:

Restringir o acesso à internet e a sistemas externos ao mínimo necessário pra tarefa, não ao máximo disponível.
Escrever no prompt, de forma explícita, o que o agente não pode fazer, não só o que ele deve fazer. Ausência de proibição não é neutra, é uma porta aberta.
Manter revisão humana no ponto de ação irreversível (aprovar código, enviar mensagem, mover dinheiro), exatamente como o mantenedor humano do GitHub fez nesse caso e travou o ataque antes de ele acontecer.

O relatório do AISI é, na prática, um manual de erro concreto de configuração de agente, disponível pra qualquer negócio aprender antes de cometer a mesma falha em escala menor.

A Formação em Agentes IA e Automações da ibe.IA ensina a montar esse tipo de agente com limite e revisão certos desde o início, pra virar Gestor de IA atendendo clínica, imobiliária e e-commerce sem abrir a mesma brecha que o AISI encontrou.

Conheça a Formação em Agentes IA e Automações

E se essa leitura te ajudou a entender o que está acontecendo, segue o Renato Asse no Instagram (@renatoasse) que toda semana sai conteúdo desse jeito.