Da Gym aos 3.2GW: OpenAI muda a porta de entrada

Em 2016, a OpenAI convidou participantes externos a usar ambientes experimentais compartilhados. Uma década depois, planeja um centro de dados na Geórgia com capacidade elétrica de 3.2GW para sistemas cujo valor depende de impedir que terceiros acessem o modelo, os dados ou a rede sem autorização. As duas decisões fazem sentido, mas respondem a perguntas diferentes sobre o que é um sistema de IA.

No início, um algoritmo produzia um resultado, e os pesquisadores temiam que ninguém mais conseguisse reproduzi-lo. Agora, um sistema de IA recebe contexto, aciona ferramentas, mantém credenciais e atua dentro de instituições. Antes, a preocupação eram artigos impossíveis de reproduzir; hoje, são ações não autorizadas, à medida que a fronteira passa da publicação para a execução.

Em 2016, a abertura resolveu o problema de reprodutibilidade da IA

Quando a OpenAI lançou a Gym em abril de 2016, o conjunto de ferramentas ofereceu aos desenvolvedores ambientes compartilhados para testar algoritmos de aprendizado por reforço. Em dezembro daquele ano, a OpenAI lançou a Universe, uma plataforma de código aberto na qual agentes podiam aprender por meio de jogos, aplicativos e sites. A proposta tratava o avanço da área como um problema coletivo de medição: oferecer tarefas comuns aos pesquisadores, permitir a repetição de experimentos, comparar resultados, revelar fragilidades e acelerar o progresso mais do que laboratórios isolados conseguiriam.

A OpenAI ajustou a governança àquelas condições de funcionamento. Como faltava conhecimento confiável, a reprodutibilidade reduzia desperdícios e expunha alegações sem fundamento. Ambientes compartilhados favoreciam o escrutínio, e o escrutínio melhorava os experimentos. A abertura se reforçava porque os pesquisadores disponibilizavam materiais para inspeção, e não sistemas autorizados a agir.

A OpenAI não abandonou esse modelo com a chegada dos sistemas comerciais. Em 2023, tornou a Evals um projeto de código aberto para que usuários pudessem testar modelos, relatar deficiências e orientar melhorias. A avaliação externa continua exercendo uma função necessária. Um laboratório que não consegue medir uma capacidade tampouco consegue governá-la; um fornecedor que enxerga apenas os próprios testes vê somente as falhas que seu método sabe identificar. A Evals pode mostrar o que um sistema consegue fazer durante um teste, não o que ele poderá fazer depois que alguém lhe conceder uma credencial.

De 2024 a 2026, o enquadramento da cobertura da OpenAI pelo viés da pesquisa caiu de 24.4% para 20.8%, enquanto o da regulação subiu de 12.2% para 15.5%. Esses percentuais não indicam que a pesquisa parou; mostram que um conjunto cada vez maior de instituições passou a decidir onde ela pode ser aplicada.

A capacidade de agir leva a governança dos testes à autorização de acesso

O termo agente de IA continua impreciso. As empresas discordam sobre os critérios para essa classificação, e a adoção tem se concentrado em eficiência e redução de custos, e não em sistemas autônomos capazes de ampliar a receita. O rótulo avançou mais rápido que a implantação, mas sua arquitetura é menos ambígua.

Independentemente do nome, quando um modelo passa a acionar programas ao longo do tempo, as instituições precisam identificá-lo, definir sua função, restringir suas ferramentas, isolar a execução, observar suas ações e revogar o acesso quando seu comportamento ultrapassa um limite. O modelo continua importante, mas são esses controles ao redor dele que determinam o que ele de fato pode fazer.

A plataforma Frontier da OpenAI torna explícita essa transição. Ela oferece contexto compartilhado, integração inicial e limites de permissão a um grupo restrito de clientes. Mais tarde, a empresa acrescentou isolamento nativo e uma estrutura de testes ao Agents SDK para implantar agentes de ponta em tarefas de longa duração. Em conjunto, esses controles convertem capacidade em trabalho institucional supervisionado, como parte de uma guinada mais ampla para a execução gerenciada.

A Gym respondia: outro pesquisador consegue reproduzir este resultado? A Frontier responde: o que este sistema pode fazer aqui, sob a autoridade de quem, por quanto tempo e dentro de quais limites?

A diferença ficou concreta durante os testes de capacidade cibernética da OpenAI. Segundo a empresa, seus modelos encadearam vulnerabilidades no ambiente de pesquisa da própria OpenAI e na infraestrutura da Hugging Face para resolver o teste ExploitGym. Seja o episódio descrito como sucesso no teste ou falha de contenção, a cadeia de vulnerabilidades atravessou sistemas de diferentes organizações. A capacidade relevante do modelo não estava apenas em reconhecer código defeituoso, mas em montar um caminho por vários ambientes até produzir um resultado.

Um agente sem credenciais, acesso à rede ou permissão para usar ferramentas consegue fazer menos que um modelo inferior inserido em um fluxo de trabalho permissivo. A previsão pode ficar mais barata, mas a ação ainda passa por contas, interfaces de programação, ambientes isolados, repositórios de dados e regras de aprovação. Por isso, ao comparar agentes, o comprador precisa examinar as permissões de cada modelo, e não apenas seu desempenho em testes padronizados.

Cinco governos—Estados Unidos, Reino Unido, Austrália, Canadá e Nova Zelândia—alertaram que muitas organizações concedem a sistemas capazes de agir mais acesso do que conseguem monitorar com segurança. O alerta chega antes mesmo de haver uma definição estável para a implantação autônoma em larga escala. Os problemas surgem quando as permissões concedidas avançam além dos comportamentos que as organizações conseguem observar.

As primeiras ferramentas da OpenAI tornaram o ambiente compartilhado de pesquisa mais útil. Agentes com capacidade cibernética transformam esse mesmo ambiente em superfície de ataque, razão pela qual a infraestrutura aberta de IA agora exige segurança no padrão de infraestruturas críticas. A concepção original não se tornou equivocada; o que mudou foi que programas antes limitados à avaliação agora conseguem percorrer o próprio ambiente que os avalia.

A implantação sigilosa transforma o laboratório em operador de confiança

Sistemas sigilosos são a versão mais exigente dessa mudança, pois combinam modelos avançados com dados que não podem sair do ambiente, redes que não podem ser conectadas de maneira indiscriminada e instituições que precisam estabelecer o uso legal antes da execução. O fornecedor deixa de entregar apenas um modelo e passa a assumir responsabilidade pelos limites ao redor dele.

Segundo relatos, o Pentágono discutiu a criação de ambientes seguros nos quais empresas de IA poderiam treinar versões de modelos específicas para uso militar com dados sigilosos. O Department of Defense também firmou acordos com AWS, Microsoft, Nvidia, Oracle e Reflection AI para usar ferramentas de IA em redes militares sigilosas em operações legais. Ao descrever seu próprio acordo com o Defense Department, a OpenAI afirmou que manteve suas restrições e incluiu salvaguardas excepcionalmente abrangentes para a implantação em ambientes sigilosos.

Essas declarações descrevem uma categoria de produto, e não apenas uma posição institucional. As organizações que compram recursos de ponta também precisam de isolamento, políticas de acesso, monitoramento, gestão de incidentes e registros defensáveis sobre quem autorizou cada ação. Em conjunto, esses controles formam o controle da camada de implantação, o aparato que determina onde a inteligência pode operar.

A decisão do Google de oferecer o Gemini 3.5 Flash Cyber primeiro a governos e parceiros selecionados mostra que esse padrão vai além da OpenAI. O Google está fornecendo capacidade cibernética controlada por meio de relações escolhidas, em vez de disponibilizá-la como um programa comum para baixar. A restrição não se resume ao sigilo dos pesos. Ela expressa a alegação de que o fornecedor consegue distinguir operadores legítimos, impor limites ao ambiente e administrar a capacidade depois de conceder acesso.

Isso inverte a função institucional original do laboratório. Uma organização de pesquisa pede que terceiros examinem seu trabalho para tornar o resultado mais confiável. Um operador de infraestrutura confiável pede que terceiros aceitem limites de acesso para preservar a confiabilidade do ambiente operacional. A palavra “confiança” permanece; o sentido da porta de entrada muda.

A camada de controle tem endereço físico na Geórgia

As permissões aparecem nos menus dos programas, mas as máquinas que as aplicam ficam em edifícios. A OpenAI pretende investir mais de $30 bilhões em um centro de dados na Geórgia com capacidade elétrica de 3.2GW, e a previsão é que várias centenas de megawatts comecem a entrar em operação a partir de 2028. Essa arquitetura controlada exige subestações, sistemas de refrigeração, servidores, fibra óptica, procedimentos de segurança e capital suficiente para continuar disponível enquanto instituições dependerem dela.

A OpenAI nomeou o fundador do Nubank, David Vélez, e o CEO do BNY, Robin Vince, para seus conselhos enquanto avança em direção a uma abertura de capital. A empresa gastou $1.2 milhão com articulação política federal no segundo trimestre, alta de 18% em relação ao trimestre anterior, enquanto Sam Altman planejava apresentar os próximos modelos ao governo e a parlamentares. Esses movimentos sustentam uma única função: operar recursos de grande impacto dentro de instituições capazes de impor condições financeiras, jurídicas e de segurança.

Uma infraestrutura de IA nessa escala não é apenas uma nuvem maior. O centro de dados fornece capacidade, mas a OpenAI também precisa preservar as distinções entre clientes, conjuntos de dados, redes, ferramentas e finalidades autorizadas. A empresa deve fazer com que a política de cada instituição chegue até o nível do que o modelo em execução pode acessar.

Um laboratório de pesquisa pode comercializar uma descoberta depois de comprovar que ela funciona. Um operador de infraestrutura precisa financiar capacidade, garantir energia, construir o ambiente, negociar o acesso institucional e definir as condições aceitáveis de operação antes que chegue a carga de trabalho que dependerá dele. Portanto, a OpenAI precisa comprometer capital e governança ao mesmo tempo: um modelo sigiloso não funciona sem capacidade computacional segura, enquanto uma infraestrutura segura sem permissões aplicáveis não é confiável.

A exclusividade da capacidade é temporária; a confiança operacional precisa sobreviver à disseminação

O controle pode gerar vantagem enquanto as capacidades mais avançadas permanecem concentradas. Mas não pode depender dessa concentração para sempre. O AI Security Institute constatou que os principais modelos com pesos abertos estavam de quatro a sete meses atrás dos modelos fechados de ponta em capacidade cibernética, ante uma diferença de seis a 10 meses durante a maior parte de 2025. A Cisco também lançou modelos com pesos abertos para localizar vulnerabilidades conhecidas em bases de código. Capacidades úteis de segurança estão migrando para formatos mais fáceis de distribuir.

À medida que essa distância diminui, a OpenAI não pode tratar a restrição de acesso como uma barreira competitiva duradoura. Quando modelos avançados se disseminarem, os operadores vão se diferenciar pela escolha das credenciais concedidas a cada agente, do ambiente que o contém, das ações que exigem aprovação, dos registros que serão preservados e da rapidez com que o acesso poderá ser retirado.

As estradas tornam essa diferença concreta: um veículo aprovado em um teste de bancada não torna o transporte seguro. Habilitação, faixas, sinalização, manutenção e resposta a acidentes determinam o que acontece depois que o veículo deixa as instalações. A avaliação continua necessária, mas são as operações que definem as consequências para a sociedade.

A OpenAI não fez simplesmente o caminho inverso, do aberto para o fechado. Ela pode manter a Evals aberta e, ao mesmo tempo, impor condições à execução. A pesquisa pode continuar colaborativa mesmo com uma implantação seletiva, e a capacidade dos modelos pode se disseminar enquanto a operação institucional permanece difícil. Essas escolhas coexistem porque cada camada responde a um tipo diferente de falha.

Em 2016, a OpenAI criou uma referência comum e convidou todos a entrar. Uma década depois, seu projeto mais relevante é uma porta de acesso controlado, conectada a uma rede sigilosa e sustentada por 3.2 gigawatts.