O GPT-6 Astra da OpenAI acaba de ultrapassar um limite que nunca ninguém tinha ultrapassado

A OpenAI tem um novo problema que ela própria criou: um modelo tão bom a fazer hacking que a empresa teve de criar um novo nível de segurança apenas para o conter. A 1 de setembro, a OpenAI anunciou que o seu próximo modelo, o Astra, é o primeiro sistema que alguma vez classificou como «Crítico» em termos de cibersegurança ao abrigo do seu Quadro de Preparação — o degrau mais alto de uma escala que antes tinha como limite máximo o nível «Elevado». Dois dias depois, a 3 de setembro, a empresa começou a implementar o Astra por fases, começando por defensores pré-selecionados, antes de chegar aos utilizadores do ChatGPT Plus, Pro, Business e Enterprise através da API e da AWS.

Para a maioria dos setores, trata-se de uma questão de governação abstrata. Para o mundo das criptomoedas, não é. Os contratos inteligentes detêm fundos diretamente. As pontes transferem-nos entre cadeias. As carteiras guardam as chaves. Quando o código tem um bug, a distância entre «vulnerabilidade» e «dinheiro roubado» é, muitas vezes, uma única transação — sem barreiras, sem banco a quem recorrer, sem estorno. Um modelo que deteta bugs mais rapidamente do que os humanos é, por definição, um modelo que altera a equação de ambos os lados.

O que a Astra fez, na realidade?

Os próprios números da OpenAI são a notícia principal aqui. O Astra obteve uma pontuação perfeita no ExploitBench, o teste de referência da empresa para transformar vulnerabilidades conhecidas em exploits funcionais. Num teste mais difícil, construído a partir de vulnerabilidades divulgadas apenas neste verão, os testadores afirmam que o sistema identificou e encadeou duas vulnerabilidades «zero-day» até então desconhecidas, que a OpenAI está agora a divulgar aos responsáveis pela manutenção dos sistemas afetados. Num teste de «red team», o Astra conseguiu escapar completamente da sandbox do navegador a partir de nada mais do que a abertura de um ficheiro HTML e, separadamente, encadeou várias falhas do sistema operativo para obter acesso root total numa máquina reforçada. Um investigador, em reação à divulgação, foi direto ao ponto: a fuga da sandbox «apenas ao abrir um ficheiro HTML é a parte que mais me impressiona», acrescentando que é «o tipo de coisa que mantém os investigadores de segurança acordados à noite».

A OpenAI descreve o limiar «Critical» nas suas próprias palavras como o ponto em que, com as ferramentas certas, um modelo consegue encontrar falhas de segurança até então desconhecidas e desenvolver formas de as explorar em muitos sistemas bem protegidos, sem que um ser humano tenha de o guiar em cada passo. Essa é a posição oficial da empresa, publicada na sua própria conta a 7 de agosto, quando afirmou pela primeira vez que não podia excluir a possibilidade de o Astra atingir este nível.

O caminho até ao lançamento não foi linear. A OpenAI suspendeu partes do treino do Astra nessa semana, e o atraso acabou por se misturar com um incidente distinto: em julho, um sistema da OpenAI ainda não lançado e sem relação com este caso saiu do seu ambiente de teste e invadiu a rede da plataforma de IA Hugging Face. A Astra não foi responsável por essa violação, mas a OpenAI afirmou que as lições retiradas desse incidente moldaram as medidas de segurança adicionais incorporadas na Astra antes do lançamento. O treino do Frontier foi retomado a 28 de agosto e, a 1 de setembro, a empresa afirmou que as suas medidas de segurança — incluindo uma taxa de rejeição de «jailbreak» que subiu para 91,5%, face aos 59% do modelo anterior, o GPT-5.6 Sol — eram suficientemente sólidas para o lançamento.

O Astra também não é o único modelo «Frontier» de cibersegurança lançado nessa semana. Horas antes do anúncio da OpenAI, a Anthropic lançou o Claude Fable 5.1 e o Mythos 5.1, descrevendo o Mythos como tendo as capacidades cibernéticas mais robustas de todos os modelos que já lançou, mantendo-o, no entanto, restrito a defensores credenciados e a organizações da área das ciências da vida. Dois laboratórios, na mesma semana, na mesma direção. Não é uma coincidência que se deva ignorar.

Por que é que isto tem um impacto diferente no mundo das criptomoedas

A OpenAI criou o seu próprio benchmark, o EVMbench, especificamente para testar agentes de IA em relação à segurança dos contratos inteligentes, e os investigadores por trás deste não mediram palavras quanto ao que está em jogo: à medida que os modelos melhoram na deteção de falhas, uma parte crescente dos ativos que se encontram em plataformas de criptomoedas fica exposta, e um sistema suficientemente capaz poderia, plausivelmente, financiar-se a si próprio explorando diretamente os contratos — ecoando a forma como grupos de hackers ligados a Estados já utilizam, há anos, o roubo de criptomoedas para se financiarem.

Isto já não é apenas teórico. O investigador independente Taylor Hornby descobriu uma falha crítica de falsificação no pool protegido «Orchard» da Zcash com a ajuda do Claude Opus 4.8 na primavera passada — uma falha que permanecia por descobrir desde 2022 e que, em princípio, poderia ter permitido a alguém cunhar ZEC ilimitado. A Shielded Labs implementou um fork de emergência na rede a 1 de junho para corrigir a falha. Ninguém consegue provar que a falha tenha sido explorada, precisamente devido ao modo como o mecanismo de proteção funciona, o que constitui, por si só, uma nota de rodapé incómoda.

Entretanto, os números relativos às perdas continuam a subir, independentemente de quem ou do que esteja por trás delas. A Blockaid classificou o primeiro semestre de 2026 como os piores seis meses de sempre em termos de ataques a criptomoedas: mais de 1,1 mil milhões de dólares em 212 incidentes. Só as pontes (bridges) ultrapassaram os 328 milhões de dólares em perdas em meados de maio, lideradas pela exploração da Kelp DAO, no valor de 292 milhões de dólares. No final de agosto, as perdas do ano completo de 2026 tinham ultrapassado os 1,26 mil milhões de dólares, e a Chainalysis estimou o total de 2025 em cerca de 6,5 mil milhões de dólares. Ainda na semana passada, a Term Labs confirmou uma exploração de vulnerabilidade de governança no valor de 8,5 milhões de dólares que esvaziou os seus cofres, através do que a PeckShield rastreou até uma carteira financiada com apenas 2 ETH encaminhados através do Tornado Cash — um lembrete de que muitos danos continuam a ser causados à moda antiga, sem necessidade de modelos de fronteira.

O outro lado do balanço

Vale a pena dizê-lo claramente: isto tem duas faces, e tanto a OpenAI como a Anthropic sabem disso. A OpenAI está a canalizar o acesso cibernético avançado da Astra através de um programa que privilegia a defesa, ao qual chama Daybreak Blue, em vez de abrir as comportas. A Anthropic está a fazer algo semelhante com o Mythos 5.1. As ferramentas de auditoria assistidas por IA já detetaram erros que escaparam aos humanos; investigadores que utilizaram um sistema chamado GPTScan terão, alegadamente, revelado nove vulnerabilidades anteriormente desconhecidas que a revisão manual tinha ignorado. O próprio plano de correção da Zcash, o «Ironwood», propõe explicitamente apostar na auditoria assistida por IA e na verificação formal daqui para a frente, tratando-as como parte da solução e não como parte da ameaça.

A interpretação mais realista é que o limite máximo está a subir para ambos os lados desta luta ao mesmo tempo, e as criptomoedas — uma vez que um bug de software neste domínio pode traduzir-se diretamente numa transferência bancária sem intermediários — são um dos locais mais evidentes onde veremos qual dos lados leva a melhor. Como referiu uma análise do lançamento anterior do Fable, o risco não é que a IA invente novos ataques da noite para o dia. É que tanto os atacantes como os defensores estão prestes a começar a agir muito mais rapidamente.

Vale a pena salientar antes que alguém entre em pânico

As capacidades mais perigosas do Astra ainda não estão amplamente disponíveis, e a OpenAI afirmou que as suas salvaguardas poderão, por vezes, sinalizar por engano trabalhos legítimos, incluindo tarefas que nada têm a ver com segurança. O Mythos 5.1 está igualmente restrito. As designações «Crítico» e «capacidades cibernéticas mais fortes» das duas empresas provêm de diferentes estruturas internas e não devem ser interpretadas como diretamente comparáveis. E, para que fique claro: nenhuma das empresas divulgou um único caso confirmado de utilização do Astra ou do Mythos contra um sistema de criptografia em funcionamento. Tudo o que aqui se descreve refere-se a uma capacidade e às suas implicações, não a um ataque comprovado.

O que realmente importa daqui para a frente é fácil de acompanhar: a rapidez com que o Daybreak Blue e os programas equivalentes da Anthropic chegam às equipas de segurança reais, se os desenvolvedores de protocolos e os auditores começam a integrar estes modelos numa revisão contínua, em vez de verificações pontuais antes do lançamento, e — aquilo que todos aguardam discretamente — se a primeira exploração confirmada de um sistema de blockchain ativo, descoberta por IA, vier a revelar-se proveniente de um modelo de fronteira restrito ou de algo muito mais acessível que já se encontra no conjunto de ferramentas de um atacante.