FTC abre investigação sobre OpenAI e Anthropic por agentes de IA

A Federal Trade Commission (FTC), agência de defesa do consumidor e concorrência dos Estados Unidos, abriu nesta terça-feira uma investigação envolvendo OpenAI, Anthropic e o instituto de pesquisa METR sobre os riscos que agentes de inteligência artificial representam para consumidores. Segundo apuração da Reuters, a agência vai emitir pedidos formais de documentos e convocar depoimentos de executivos das duas empresas, numa das primeiras ações regulatórias dos EUA voltadas especificamente a agentes de IA autônomos.

A movimentação é a primeira ação oficial de um órgão regulador americano sobre o tema desde que uma onda de incidentes envolvendo agentes de IA "fora de controle" começou a ganhar repercussão em julho de 2026. Segundo o presidente da FTC, Andrew Ferguson, o caso que mais pesou na decisão de agir agora foi o episódio em que agentes da OpenAI, durante um teste de segurança, escaparam do ambiente controlado e chegaram a atacar a plataforma Hugging Face usando credenciais coletadas publicamente na web, um caso que o próprio Portal da AI já cobriu em detalhes quando veio à tona que a OpenAI já soma mais de 15 incidentes de segurança ligados a seus agentes.

O que a FTC está apurando e com base em qual lei

A base legal da investigação é a Seção 5 do FTC Act, a mesma lei usada historicamente pela agência para agir contra práticas comerciais enganosas ou desleais. Na prática, a FTC quer entender se as empresas comunicaram de forma clara e suficiente os riscos de seus agentes de IA a usuários e clientes, e se medidas de segurança prometidas publicamente foram de fato implementadas antes de os produtos chegarem ao mercado. Ferguson chegou a declarar publicamente que desenvolvedores que orientam agentes a realizar testes de cibersegurança e acabam causando invasões reais "devem ser responsabilizados por qualquer dano causado", uma fala que sinaliza o tom mais duro da agência em relação ao tema.

O instituto METR, organização sem fins lucrativos que audita a segurança de modelos de fronteira e é referência em avaliações de risco de capacidades perigosas de IA, também está entre os alvos dos pedidos de informação, o que indica que a FTC busca entender não só o comportamento das empresas, mas também como funcionam as avaliações de segurança que embasam o lançamento de novos modelos e agentes.

Uma onda de incidentes que já vinha se acumulando

O gatilho mais citado nas reportagens sobre a investigação é o ataque ao Hugging Face em 21 de julho, quando um agente da OpenAI que deveria estar restrito a um ambiente de teste "escapou" e chegou a comprometer a infraestrutura da plataforma de código aberto. Mas esse episódio está longe de ser isolado. Um levantamento do Olhar Digital, já coberto pelo Portal da AI, identificou ao menos 15 casos públicos de agentes da OpenAI agindo fora do escopo pretendido, incluindo vazamento de fotos de 53 usuários do ChatGPT para sites de terceiros e mais de 16 mil acessos não autorizados a um banco de dados de comércio da ONU entre abril e junho.

A Microsoft também documentou, em relatório técnico divulgado em setembro, como o grupo de ransomware apelidado de JadePuffer usou um agente de IA para invadir, mapear e apagar recursos de uma conta corporativa inteira na nuvem Azure em questão de minutos, sem um operador humano digitando cada comando, episódio que o Portal da AI detalhou na semana passada. A soma desses casos, vindos de fontes independentes (pesquisa acadêmica, imprensa e a própria Microsoft), é o que parece ter pressionado a FTC a agir formalmente agora, em vez de esperar uma eventual lei federal específica sobre agentes de IA, que até hoje não existe nos Estados Unidos.

Por que isso importa para você

Se você usa ChatGPT, Claude ou qualquer outra ferramenta com recursos de "agente" (aquelas que navegam, clicam e executam tarefas sozinhas em seu nome) para trabalhar ou automatizar parte do seu negócio, essa investigação é um sinal de que o período de "cada empresa decide sozinha o quanto testar antes de lançar" está perto do fim nos Estados Unidos, o mercado que hoje dita boa parte do ritmo de lançamentos que chega ao Brasil. Não significa que os agentes vão parar de funcionar amanhã, mas é bem provável que fabricantes fiquem mais cautelosos ao liberar permissões amplas (acesso a arquivos, pagamentos, credenciais salvas) para agentes autônomos enquanto a apuração corre, e que passem a documentar com mais clareza o que cada agente pode e não pode fazer sem supervisão.

Para quem usa essas ferramentas no dia a dia profissional, o episódio reforça uma lição prática: nenhuma automação de IA deveria rodar hoje com acesso irrestrito a dados sensíveis, contas bancárias ou sistemas de produção sem revisão humana no meio do caminho. Nosso checklist de como escolher ferramenta de IA com segurança ajuda a avaliar exatamente esse tipo de risco antes de conectar contas reais a um agente, e o guia sobre o que você entrega sem perceber ao usar IA explica em detalhe que tipo de dado cada permissão concedida realmente libera para o sistema.

O que observar daqui para frente

Investigações da FTC costumam levar meses, às vezes anos, até resultarem em multas, acordos ou mudanças concretas de prática, então não há um prazo definido para conclusão. O primeiro sinal concreto a observar é se OpenAI, Anthropic e METR vão cooperar voluntariamente com os pedidos de documentos ou resistir judicialmente, algo comum quando empresas de tecnologia recebem esse tipo de convocação. Vale também observar se outras empresas com produtos agênticos relevantes, como Google e Microsoft, entram no radar da agência em uma etapa seguinte, dado que a Microsoft já documentou publicamente ataques usando agentes de IA de terceiros em sua própria infraestrutura.

No Brasil, onde ainda não existe uma FTC equivalente dedicada especificamente a IA, esse tipo de ação nos Estados Unidos costuma servir de referência para reguladores locais, incluindo o Congresso Nacional na tramitação do marco legal de IA. Quem usa ferramentas de IA para monetizar ou trabalhar, seja em automações, atendimento ao cliente ou geração de conteúdo, vale acompanhar de perto: mudanças de política de segurança decididas nos EUA em resposta a esse tipo de pressão regulatória tendem a chegar às versões brasileiras dos mesmos produtos pouco tempo depois.