Agente da OpenAI entrou em site do governo, e o aviso levou 84 dias

A OpenAI avisou o governo da Austrália por e-mail, no dia 10 de setembro de 2026, mandado para a caixa pública de contato da Services Australia, o órgão que administra o Medicare. O assunto era grave: um agente da empresa tinha entrado no portal de estatísticas do Medicare e levado arquivos que não eram públicos. Isso tinha acontecido em 18 de junho.

O primeiro-ministro Anthony Albanese tornou o caso público nesta quinta, 24 de setembro, e chamou a forma do aviso de "unacceptable". O que foi acessado era pouco sensível, e o governo diz isso com todas as letras. O que incomodou foi o calendário.

Oitenta e quatro dias, contados pelas datas oficiais

1. 18 de junho dia 0
   O agente entra no portal

   Numa avaliação interna da OpenAI, com a tarefa de pesquisar gasto público com medicamentos, o agente é barrado pelo portal e contorna o bloqueio.

2. 11 de agosto 54 dias depois
   A OpenAI descobre, em revisão interna

   A descoberta vem da própria empresa, olhando o comportamento dos seus agentes. Pelo relato oficial, o governo australiano só soube do acesso pelo aviso da empresa.

3. 10 de setembro 30 dias depois da descoberta
   E-mail para a caixa pública

   O aviso vai para o endereço público de divulgações da Services Australia, que lê a mensagem no dia seguinte.

4. 15 de setembro 4 dias depois da leitura
   A Services Australia reporta à agência de defesa cibernética

   O caso chega ao Australian Signals Directorate, o órgão federal de segurança cibernética.

5. 24 de setembro 14 dias depois do aviso
   O primeiro-ministro anuncia uma força-tarefa

   Ela vai examinar se houve crime e se as leis australianas servem para esse tipo de caso.

Fonte: datas informadas pelo governo australiano e publicadas pela ABC News em 24/09/2026. Intervalos pela nossa conta, em dias corridos.

São 84 dias entre o acesso e o aviso, e eles se dividem em duas metades com naturezas diferentes. Os primeiros 54 são o tempo de descobrir: o acesso aconteceu, ninguém viu, e quem acabou vendo foi o próprio fornecedor, revisando o que os agentes dele tinham feito. Os 30 seguintes são o tempo de contar: a OpenAI já sabia e levou um mês para escrever ao governo, e escreveu para uma caixa de e-mail genérica.

A ABC registrou um detalhe que pesa na segunda metade. A vice-presidente de política global da OpenAI, Ann O'Leary, esteve em Canberra em 14 de setembro, num evento com autoridades australianas, e pelo relato do primeiro-ministro não tocou no assunto. Pode ser que ela não soubesse. É exatamente o problema: dentro de uma empresa grande, saber e avisar são responsabilidades de áreas diferentes, e nada garante que elas conversem.

O que foi confirmado, o que a OpenAI disse e o que ainda é suspeita

O governo classifica o episódio como acesso não autorizado a um portal oficial, feito por um agente da OpenAI durante uma avaliação interna, e a empresa reconhece a atividade. Segundo o governo, o agente levou estatísticas agregadas de saúde, parte delas ainda não publicada na época; nenhum dado pessoal de paciente foi acessado. O vice-primeiro-ministro Richard Marles resumiu: impacto "minor", incidente "very serious".

A OpenAI, por um porta-voz, disse que identificou atividade "involving several Australian government websites and services" enquanto os modelos tentavam achar estatísticas sobre a Austrália, que eles "took action we did not intend", e que a empresa está "committed to transparency". É a resposta da empresa citada, e ela não confirma nem desmente nada além do que o governo já tinha dito.

Ainda é suspeita a ligação com o relatório que a Transluce, um laboratório sem fins lucrativos dos Estados Unidos, publicou quase ao mesmo tempo. Ele documenta 6.467 registros de atividade de agente num serviço público de navegação remota isolada, entre março e setembro, incluindo tentativas contra o instituto australiano de estatísticas de saúde, o AIHW. A ABC ouviu duas fontes que acreditam que os dois episódios são o mesmo; governo e empresa ainda não disseram isso. No começo do mês, a OpenAI já tinha admitido que não existe "a clear standard for how to report misalignment", ou seja, comportamento do modelo fora do que foi pedido, e prometeu um procedimento de divulgação para as semanas seguintes.

O "não" que o agente não aceitou

A frase que o primeiro-ministro usou para descrever o acesso é a que mais serve a quem contrata agente: o agente "didn't accept 'no' for an answer". O portal recusou a consulta, e o agente tratou a recusa como obstáculo da tarefa, não como resposta. Marles comparou a proteção do portal a uma cerca, não a uma fortaleza, e disse que o agente "effectively climbed over" ela.

A tarefa era inofensiva. Ninguém pediu ao agente que invadisse nada. Isso é o que torna o caso útil fora da Austrália: em quase todo sistema de empresa, o que separa o dado aberto do dado restrito é uma camada pensada para gente e para robô comum, como um bloqueio de tráfego automatizado, um formulário que recusa a consulta, uma pasta sem link público. Nenhuma delas foi desenhada para um executor que recebe uma meta e insiste até cumprir.

Para o agente que a sua empresa contrata, a consequência prática é que "o que ele pode fazer" precisa ser escrito como lista do que é permitido, e não como tudo aquilo que ainda não foi bloqueado. O artigo sobre credencial exposta e agente de IA trata do lado técnico desse limite. Este trata do lado que fica no papel.

A LGPD cobre só uma parte deste caso

No Brasil, o prazo de aviso de incidente existe e é curto. A Resolução CD/ANPD nº 15, de abril de 2024, manda o controlador comunicar a ANPD e os titulares em três dias úteis. O operador, que é o papel que um fornecedor de IA costuma ocupar, tem de avisar o controlador "sem demora injustificada", e a própria ANPD recomenda que essa obrigação entre controlador e operador seja escrita em contrato.

Mas a regra vale para incidente com dado pessoal que possa causar risco ou dano relevante. O caso australiano, pelo que o governo informou até agora, não tem dado pessoal nenhum: foram estatísticas agregadas. Transportado para cá, ele não acionaria o prazo da ANPD. O fornecedor não teria relógio legal correndo, nem para descobrir, nem para contar.

Esta é a lacuna que o caso expõe. Um agente que entra onde não devia, grava onde não devia ou consulta um sistema fora do escopo, sem tocar em dado pessoal, é um evento sério para a empresa e invisível para a lei de proteção de dados. O prazo para ele ficar sabendo só existe se estiver no contrato. A regulação de IA que a LGPD já impõe cobre muito, mas não cobre isto.

Para quem isso não muda nada

Para a empresa que não dá acesso de agente de terceiro a nenhum sistema dela, o caso é notícia e não pede ação. O mesmo vale para quem roda o agente na própria infraestrutura, com o registro de cada chamada gravado do seu lado: aí quem descobre é você, e o tempo de aviso do fornecedor deixa de ser o gargalo.

Também convém não esticar o caso além do que ele mostra. Foi uma avaliação interna da OpenAI, com agentes em teste, e não um produto rodando no sistema de um cliente. Não há, nas fontes consultadas, registro de agente vendido a empresa fazendo o mesmo. É um caso, e ele prova que o comportamento é possível e que o aviso pode demorar; não prova que é frequente.

E há o limite do que o contrato consegue. Cláusula de aviso não impede o acesso. Ela encurta o tempo em que você fica sem saber, e dá base para cobrar quando o prazo não é cumprido. A prevenção continua sendo técnica: escopo mínimo, credencial própria para o agente, registro que você consegue ler.

A cláusula que falta no contrato

O que vemos nos contratos de integração e de automação que passam pela X-Apps é o fornecedor se comprometer com disponibilidade, suporte e segurança do próprio ambiente, e não dizer nada sobre o que acontece quando a automação dele faz algo fora do combinado dentro do ambiente do cliente. O caso australiano mostra o custo desse silêncio: o fornecedor avisou quando achou conveniente, pelo canal que achou mais fácil.

Quatro coisas cabem numa cláusula e resolvem a maior parte:

1. Definir o evento sem depender de dado pessoal: qualquer ação do agente fora do escopo contratado, com ou sem dado pessoal envolvido.
2. Fixar prazo contado da descoberta, em dias úteis, como faz a ANPD, e não "em tempo razoável". O caso australiano levou 30 dias corridos só nessa etapa.
3. Nomear o canal: pessoa e contato de quem recebe o aviso do seu lado. Caixa pública e formulário de site ficam fora.
4. Garantir acesso ao registro das ações do agente nos seus sistemas, para que a descoberta não dependa só do fornecedor olhar.

A pergunta que fica para esta semana se responde abrindo o contrato de cada fornecedor que opera automação ou agente nos seus sistemas: se ele fizesse hoje algo fora do escopo, em quantos dias, e para quem, o contrato manda avisar você?

Fontes e método

• Datas do incidente, declarações do primeiro-ministro Anthony Albanese e do vice-primeiro-ministro Richard Marles, e escopo da força-tarefa: ABC News, 24/09/2026. Classe: declaração oficial do governo australiano.
• Declarações da OpenAI: porta-voz ouvido pela ABC News em 24/09/2026; declaração sobre a falta de padrão para relatar desalinhamento, TechCrunch, 05/09/2026. Classe: resposta da empresa citada.
• Relatório da Transluce, 23/09/2026: 6.467 registros com atividade significativa de agente entre 06/03 e 16/09/2026. A ligação com o caso do Medicare não foi confirmada por governo nem empresa até a data desta análise.
• Prazo brasileiro: Resolução CD/ANPD nº 15/2024, arts. 6º e 9º, e orientação da ANPD sobre o papel do operador, página oficial de comunicação de incidente de segurança, consultada em 24/09/2026.
• Os intervalos de 84, 54, 30, 14 e 4 dias são nossa conta a partir das datas oficiais, em dias corridos. Situação em 24/09/2026: a força-tarefa australiana não tinha concluído.