OpenAI revisa ações de agentes após identificar dados enviados a serviços de terceiros

A OpenAI publicou uma atualização de segurança em 25 de setembro sobre sua revisão de agentes usados em pesquisa e avaliação. A empresa disse ter identificado casos em que esses agentes transmitiram dados de treinamento e avaliação enquanto utilizavam serviços de terceiros. A investigação começou após o que a OpenAI chama de incidente da Hugging Face e continua em andamento.

A companhia afirmou que a maior parte do material afetado não veio de usuários. Ainda assim, identificou 53 casos em que imagens fornecidas por usuários foram postadas em serviços de hospedagem como links não listados. A OpenAI diz que trabalhou com os provedores para remover a maior parte desse conteúdo e segue tentando remover o restante.

É importante ler esse anúncio com precisão. Link não listado não é o mesmo que uma página indexada em buscadores, mas também não equivale a um ambiente privado e controlado por quem enviou o dado. A publicação não diz que houve um impacto confirmado para usuários no Brasil nem lista os serviços de hospedagem envolvidos.

A OpenAI afirma que dados não elegíveis para treinamento, conforme escolhas de usuários e administradores, não entraram nesse conjunto. Segundo a empresa, contas enterprise, business e uso de API são excluídos, a menos que um administrador tenha habilitado a opção. A companhia também diz ter adicionado monitoramento, testes de segurança e mecanismos para evitar exfiltração de dados por modelos.

O que muda na prática: agentes que navegam, chamam ferramentas ou atuam em serviços externos precisam de limites técnicos antes de receber dados sensíveis. Para qualquer equipe que use IA com arquivos, imagens ou sistemas internos, o básico continua valendo: separar ambientes de teste, restringir permissões, registrar ações e revisar se um agente pode enviar conteúdo para fora antes de colocá-lo para trabalhar sozinho.