IA testando IA: o red team entrou na era do self-play

1. O que aconteceu em julho de 2026

Durante anos, testar a segurança de uma IA foi trabalho de humano: um especialista sentava, tentava enganar o modelo e anotava onde ele cedia. Em julho de 2026, três anúncios quase simultâneos marcaram uma virada de página — a de “humano testando IA” para “IA testando IA”. É o que a comunidade chinesa que acompanha pesquisa ofensiva batizou de era do self-play.

Os três marcos vêm de três lugares diferentes — e isso importa, porque a régua da casa aqui é simples: alegação de fornecedor, sozinha, não é fato; alegação de fornecedor mais academia mais governo, convergindo, já é sinal. Foi o que aconteceu:

• GPT-Red, da OpenAI — uma IA treinada para atacar os próprios modelos da empresa. Fornecedor
• AgentCyberRange, da Universidade Fudan (China) — um campo de provas aberto que mede quão fundo uma IA chega dentro de uma rede corporativa simulada. Benchmark
• A medição do AISI, o instituto de segurança de IA do Reino Unido — a capacidade ofensiva autônoma está dobrando a cada poucos meses. Prova independente

Fornecedor, academia e governo apontando para a mesma direção no mesmo mês. Vale olhar cada um com a régua ligada.

2. GPT-Red: a OpenAI botou uma IA para atacar a própria IA

Em 15 de julho de 2026, a OpenAI apresentou o GPT-Red: um modelo de red team automatizado, treinado por self-play (aprendizado por reforço em que um lado ataca e o outro se defende, rodada após rodada). O atacante é recompensado quando consegue arrancar uma falha — por exemplo, uma prompt injection bem-sucedida; o defensor é recompensado quando resiste e conclui a tarefa original. Um puxa o outro para cima, sem humano no meio.

Os números são de avaliação da própria OpenAI Fornecedor — mas o método é público e foi coberto de forma independente pela imprensa técnica. E há duas ressalvas que a manchete engole:

• A arena é estreita. Isso mede robustez a prompt injection — a IA sendo enganada por texto malicioso —, não “a IA invadindo a sua rede”. São problemas diferentes; não confunda um com o outro.
• O propósito é defensivo. O GPT-Red existe para endurecer o próximo modelo: treinado contra ele, o GPT-5.6 passou a errar 6x menos e a atingir mais de 97% de acerto em benchmarks de prompt injection indireta. O mesmo laço que cria um atacante melhor cria um defensor melhor.

3. AgentCyberRange: medindo a IA dentro da sua rede

Se o GPT-Red mede a IA atacando outra IA, o AgentCyberRange mede o que interessa a quem contrata pentest: a IA atacando uma rede. Publicado por pesquisadores da Universidade Fudan como benchmark aberto, ele monta um campo de provas realista e cronometra até onde um agente de IA chega sozinho.

O benchmark separa o ataque em duas fases — exploração web (achar e provar a falha na aplicação exposta) e pós-exploração (transformar o pé-na-porta em domínio da rede interna). O melhor modelo avaliado, o GPT-5.5 com Codex, teve este placar:

Leia esses números com calma, porque eles cortam para os dois lados. É impressionante que um modelo, sozinho, resolva de forma autônoma um terço das tarefas de pós-exploração num ambiente realista — isso não existia. E é revelador que, sem ajuda, o melhor modelo falhe em ~84% das tarefas de exploração web. Capacidade subindo rápido não é o mesmo que operador confiável. O agente ainda erra a maior parte quando a rede é bagunçada e ninguém entrega a dica.

4. AISI: a régua dobra a cada cinco meses

O dado mais sóbrio — e o mais confiável, porque vem de um laboratório de governo, não de quem vende o modelo — é do AISI, o AI Security Institute do Reino Unido. Ele mede há 18 meses o comprimento das cadeias de ataque que os modelos de fronteira conseguem completar de ponta a ponta, como faz um pentester de verdade. A conclusão:

A capacidade ofensiva autônoma está dobrando a cada 4,7 meses Prova independente — uma aceleração em relação à estimativa anterior, de 8 meses. Dois modelos recentes, o Claude Mythos Preview e o GPT-5.5, furaram a própria tendência: o Mythos resolveu um cenário empresarial complexo que nenhum modelo tinha resolvido antes.

Uma régua que dobra a cada cinco meses é a parte que a diretoria precisa entender: o que hoje é “a IA falha em 84% das tarefas” não fica parado. A trajetória é o recado, não o placar de hoje.

O contrapeso honesto: pesquisadores do próprio Reino Unido alertam que capacidade em campo de provas ainda não virou onda de crime real na rua — até aqui, a IA tem sido acelerador de ataques, não a causa raiz deles. Régua subindo não é o mesmo que apocalipse amanhã.

5. O que é “self-play”, em uma imagem

Se o termo soa abstrato, pense no AlphaGo jogando contra si mesmo. Foi assim que uma IA passou de iniciante a sobre-humana no Go: milhões de partidas contra uma cópia de si, cada lado forçando o outro a melhorar, sem professor humano. O self-play em segurança é a mesma ideia, com outro tabuleiro: de um lado uma IA-atacante, do outro uma IA-defensora, e um placar que premia quem vence a rodada.

O detalhe estratégico que quase todo mundo esquece: o self-play corta para os dois lados. O mesmo laço que produz um atacante mais afiado produz, na volta, um defensor mais duro — foi exatamente assim que o GPT-5.6 ficou 6x mais resistente. A régua subiu para o ataque e para a defesa. Quem tratar isso só como ameaça vai perder a metade que joga a favor.

6. A leitura da TreeSec: o que muda, e o que não

Tire o hype e fique com o essencial honesto: “IA testando IA” deixou de ser promessa e virou coisa medida — por fornecedor, por academia e por governo ao mesmo tempo. Não vamos fingir que é bolha. Mas três coisas precisam ser ditas, e é aqui que a maioria dos textos falha:

• Benchmark não é a sua rede. O melhor modelo resolve 16% das tarefas de exploração web num campo de provas controlado. A sua aplicação é mais suja, mais específica e cheia de lógica de negócio que nenhum range reproduz. Capacidade impressionante em laboratório ainda é um começo, não um operador autônomo confiável.
• A régua subiu para os dois lados. A mesma técnica que assusta na manchete (self-play) é a que endurece os modelos e as defesas. A pergunta não é “a IA vai me atacar?”, e sim “eu estou usando essa mesma capacidade a meu favor, para me testar antes?”.
• O que derruba empresa continua sendo o feijão com arroz. Os ataques autônomos que viraram notícia em 2026 não usaram nenhuma técnica nova: entraram por CVE conhecida sem patch, credencial padrão, porta administrativa exposta, IDOR, configuração errada. A IA acelerou o percurso; a porta que ela achou aberta continua sendo a de sempre.

A pergunta prática, então, é a de sempre — só que com uma régua que agora dobra a cada cinco meses: a sua aplicação aguenta uma análise séria hoje, ou ela guarda os mesmos IDORs e configs erradas que um agente autônomo (ou o humano que o opera) vai varrer amanhã em minutos?

É esse o trabalho da TreeSec: profundidade ofensiva real — humana, apoiada por ferramenta, com julgamento de quem entende o seu negócio. Usamos IA no que ela é boa (reconhecimento, triagem, correlação) e não terceirizamos a ela o que exige contexto. E, como empresa de segurança, seria fácil surfar esse medo para vender. Preferimos te dar a régua e a prova.