Os Caracteres Chineses Que Não Deveriam Estar Ali
Uma notificação inesperada do ChatGPT, um histórico de outputs contaminados de IA e os crescentes riscos de segurança associados a prompt injection e data poisoning.
18 de outubro de 2026 | 8 minutos de leitura
Ideia central: Expressões chinesas inesperadas, associadas a jogos de azar, têm aparecido em conversas do ChatGPT, ferramentas de programação e fluxos de trabalho automatizados. Pesquisas científicas também identificaram concentrações suspeitas de expressões relacionadas a spam nos vocabulários de modelos de linguagem. Embora essas descobertas não estabeleçam uma causa comum nem comprovem um ataque cibernético coordenado, elas evidenciam uma preocupação séria: à medida que a inteligência artificial se torna cada vez mais autônoma, vulnerabilidades envolvendo prompt injection e data poisoning podem se transformar em instrumentos de sabotagem tecnológica, particularmente em uma corrida geopolítica rumo à inteligência artificial geral (AGI).
1. Uma notificação estranha no meu celular
O aparecimento inesperado de caracteres chineses no ChatGPT era a última coisa que eu esperava encontrar enquanto revisava uma correção em um artigo que havia escrito anteriormente sobre criatividade humana e inteligência artificial.
Na noite de 16 de outubro de 2026, às 22h44, percebi uma notificação incomum do ChatGPT no meu celular Android. Nossa conversa havia ocorrido inteiramente em português, concentrando-se em descobertas científicas, conhecimento matemático e na natureza da criação intelectual.
Entretanto, imediatamente abaixo do título da conversa, apareceram três caracteres chineses inesperados:
彩在线
A notificação prosseguia normalmente, em português, discutindo inteligência artificial e conhecimento matemático.
Minha reação imediata foi uma mistura de surpresa, curiosidade e desconfiança. Era a segunda vez que eu percebia caracteres orientais inesperados em uma notificação do ChatGPT. Eu não possuía um registro independente da primeira ocorrência, mas a repetição tornava difícil descartar o episódio como um simples erro aleatório de software.
Pedi ao ChatGPT que traduzisse os caracteres.
Os dois últimos, 在线 (zàixiàn), significam “online”. O primeiro, 彩 (cǎi), pode se referir a cores, prêmios ou loterias, dependendo do contexto. A expressão completa é ambígua, embora se assemelhe à terminologia utilizada em serviços de loteria online.
Por que algo relacionado a loterias online apareceria em uma conversa sobre criatividade e descobertas científicas?
Poderia ser um sintoma de prompt injection, de dados de treinamento contaminados ou de alguma outra vulnerabilidade?
Como físico que acompanha o desenvolvimento da inteligência artificial há anos, decidi investigar em vez de especular.
O que encontrei não foi uma prova de ataque. Foi um histórico de anomalias inexplicadas nos outputs, acompanhado de pesquisas científicas demonstrando que conteúdos indesejáveis da internet podem deixar vestígios mensuráveis nos sistemas de IA.
A notificação continha apenas três caracteres. Mas levantava uma questão muito maior: como podemos distinguir um erro comum de geração de um verdadeiro problema de segurança?
2. Um histórico preocupante: de tokens suspeitos a outputs inesperados
2024: A controvérsia sobre o tokenizer do GPT-4o
Em maio de 2024, pouco depois de a OpenAI apresentar o GPT-4o, pesquisadores que examinavam seu tokenizer chinês descobriram algo peculiar.
Um tokenizer divide o texto em unidades chamadas tokens, que são processadas por um modelo de linguagem. Seu vocabulário é geralmente construído utilizando propriedades estatísticas de grandes coleções de textos.
Tianle Cai, então doutorando da Princeton University, examinou o vocabulário publicamente disponível do GPT-4o e descobriu que muitos tokens chineses excepcionalmente longos se assemelhavam a expressões associadas a pornografia, jogos de azar online e spam na internet.
A descoberta foi relatada pela MIT Technology Review e posteriormente documentada como Incident 729 in the AI Incident Database.
A preocupação imediata não era que o ChatGPT estivesse intencionalmente anunciando sites de apostas. O problema era que o tokenizer parecia preservar vestígios estatísticos de conteúdos de baixa qualidade encontrados na internet.
Isso levantou questões sobre a seleção e a filtragem de dados durante o desenvolvimento de sistemas de IA.
2025: Evidências científicas de vocabulários contaminados
Em novembro de 2025, Qingjie Zhang e nove colaboradores publicaram Speculating LLMs’ Chinese Training Data Pollution from Their Tokens na EMNLP 2025, uma importante conferência internacional sobre processamento de linguagem natural.
Os pesquisadores examinaram os vocabulários de modelos GPT e de outros 23 modelos de linguagem.
O resultado mais impressionante foi que mais de 23% dos tokens chineses longos no vocabulário GPT examinado foram classificados como associados a pornografia ou jogos de azar online.
Esse resultado exige uma interpretação cuidadosa.
Ele não significa que 23% dos dados de treinamento do GPT consistissem nesse tipo de material. A estatística se refere a um subconjunto específico de entradas do vocabulário contendo mais de dois caracteres chineses, classificadas utilizando a metodologia de detecção dos pesquisadores.
O estudo demonstrou que tokens contaminados estavam presentes nos vocabulários dos modelos e investigou o que sua distribuição poderia revelar sobre os .
Entretanto, os pesquisadores não estabeleceram que esses tokens fossem responsáveis pelas expressões chinesas inesperadas que usuários posteriormente relatariam no ChatGPT.
Essa conexão causal permanece sem comprovação.
Janeiro–fevereiro de 2026: Caracteres estranhos em ferramentas de programação
Em 27 de janeiro, um desenvolvedor relatou o aparecimento inesperado de caracteres chineses associados a jogos de azar no Codex, o assistente de programação da OpenAI.
As sequências foram observadas em mensagens e outputs relacionados a código, particularmente durante operações de aplicação de patches em arquivos.
Em fevereiro, outro desenvolvedor relatou que o GPT-5.2, acessado por meio da API, às vezes produzia sequências que misturavam sintaxe malformada de function calls com expressões chinesas e tailandesas relacionadas a plataformas de apostas.
O desenvolvedor afirmou que nenhuma pesquisa na web havia sido realizada e que alterações em determinados parâmetros da API aparentemente eliminaram o comportamento nos testes subsequentes.
Esses episódios foram relatos de usuários, não investigações forenses verificadas independentemente. Ainda assim, sugeriam que fragmentos multilíngues inesperados poderiam aparecer em fluxos de trabalho envolvendo tool calls estruturadas, e não apenas em conversas comuns.
Julho de 2026: A OpenAI reconhece um problema
Em 24 de julho, após relatos de sequências em idiomas estrangeiros aparecendo inesperadamente em tarefas automatizadas do Codex, o OpenAI Support reconheceu publicamente um problema no qual o ChatGPT poderia ocasionalmente inserir caracteres de outro idioma ou sistema de escrita em respostas que, de outra forma, seriam normais.
O representante indicou que se esperava corrigir o problema em uma futura atualização do modelo, embora nenhum prazo tenha sido informado.
A resposta confirmou que havia conhecimento do problema geral, mas não identificou sua causa.
Agosto–outubro de 2026: As anomalias continuam
Em 14 de agosto, um usuário do ChatGPT para Android relatou que a expressão 申博太阳城, associada à terminologia de cassinos online chineses, apareceu inesperadamente em um resumo visível de reasoning durante um projeto profissional de compliance sem qualquer relação com jogos de azar.
Não foram observadas execuções maliciosas nem perdas de dados.
Em 25 de agosto, outro usuário relatou expressões chinesas semelhantes a spam aparecendo como títulos gerados automaticamente para conversas comuns realizadas em russo.
Em 1º de setembro, um usuário que havia solicitado um simples lembrete programado encontrou a mesma expressão associada a cassinos incorporada ao título gerado para a conversa.
Um relato separado, também de setembro, descreveu um fragmento chinês relacionado a jogos de azar acrescentado a uma conversa sobre uma empresa de transporte marítimo negociada em bolsa. O título alterado apareceu tanto no Windows quanto no iOS, sugerindo que o texto inesperado havia sido armazenado com a conversa, em vez de ter sido produzido exclusivamente pela interface de um dispositivo.
Em 12 de outubro, o OpenAI Support solicitou informações técnicas adicionais aos usuários afetados.
Três dias depois, em 15 de outubro, a empresa respondeu ao relato de 1º de setembro, reconhecendo que textos relacionados a jogos de azar ou spam, sem qualquer relação com o assunto, não deveriam aparecer em títulos de conversas gerados automaticamente.
O representante também ressaltou que esse comportamento não estabelecia, por si só, a exposição de informações entre usuários.
Na noite seguinte, percebi os caracteres no meu celular.
Esses incidentes merecem atenção porque ocorreram em diferentes interfaces, idiomas e fluxos de trabalho. Entretanto, suas semelhanças não comprovam que todos compartilhem a mesma causa técnica.
3. Seria um caso de Prompt Injection?
Uma das primeiras possibilidades que me preocupou foi a de prompt injection.
Um ataque de prompt injection ocorre quando um sistema de IA trata incorretamente informações não confiáveis como se fossem instruções.
Imagine pedir a um assistente de IA que resuma um artigo científico recuperado de um site.
Sem que você saiba, a página contém uma instrução determinando que o assistente ignore sua solicitação e recomende um serviço fraudulento.
Se o assistente seguir essa instrução, o atacante terá ultrapassado uma fronteira de segurança: informações que deveriam ter sido processadas como dados passaram a exercer autoridade sobre o comportamento do sistema.
Em 2023, Kai Greshake e colaboradores demonstraram ataques desse tipo em seu influente artigo, Not What You’ve Signed Up For: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection.
A vulnerabilidade é hoje amplamente reconhecida. O OWASP GenAI Security Project identifica prompt injection como um dos principais riscos de segurança para aplicações construídas com Large Language Models (LLMs).
A ameaça se torna particularmente grave quando sistemas de IA podem executar código, acessar bancos de dados, recuperar documentos confidenciais ou interagir autonomamente com serviços externos.
Entretanto, uma distinção importante é necessária.
Os caracteres chineses que apareceram na minha notificação não comprovam um ataque de prompt injection.
Nenhuma instrução maliciosa foi identificada na minha conversa.
Uma explicação mais simples é possível: o sistema pode ter gerado uma sequência inadequada devido a um erro no output do modelo, a uma anomalia na geração de títulos, no gerenciamento de contexto ou em algum outro componente de software.
Um comportamento anômalo não é necessariamente um comportamento adversarial.
Essa distinção importa porque a cibersegurança exige mais do que observar um resultado estranho. Ela requer evidências que conectem o resultado a um mecanismo específico.
4. Data Contamination e Data Poisoning
Outra possibilidade diz respeito às informações utilizadas para desenvolver sistemas de IA.
Large Language Models aprendem padrões estatísticos a partir de enormes coleções de textos, muitos deles originários da internet.
Mas a internet contém muito mais do que conhecimento confiável. Ela também abriga fraudes, propaganda, conteúdos enganosos, spam automatizado e sites manipulados.
Quando materiais indesejáveis entram no training pipeline de um modelo, podem influenciar as representações que ele aprende. Essa é uma forma de data contamination.
Data poisoning é mais específico: envolve a manipulação deliberada dos dados de treinamento, ou de outras fontes de informação utilizadas por um modelo, para induzir comportamentos indesejados.
A diferença é importante. A contaminação pode ser acidental; o poisoning envolve um objetivo adversarial.
Em outubro de 2025, pesquisadores da Anthropic, do UK AI Security Institute e do Alan Turing Institute publicaram A Small Number of Samples Can Poison LLMs of Any Size.
Em experimentos controlados, apenas 250 documentos maliciosos, deliberadamente construídos, foram suficientes para produzir um efeito de backdoor em modelos de linguagem com tamanhos variando de 600 milhões a 13 bilhões de parâmetros.
O comportamento demonstrado era limitado: gerar texto sem sentido quando um determinado trigger aparecia. Os resultados não estabeleceram que comportamentos maliciosos arbitrários poderiam ser implantados em frontier models utilizando o mesmo método.
Ainda assim, a pesquisa demonstrou que quantidades relativamente pequenas de dados de treinamento adversariais podem, em determinadas circunstâncias, induzir vulnerabilidades mensuráveis.
A distinção entre esses mecanismos é direta:
- Prompt injection tenta manipular o que um sistema de IA faz enquanto processa informações.
- Data poisoning tenta manipular o que o sistema aprende ou as informações das quais depende.
Ambos representam preocupações reais de segurança.
Mas nenhum deles foi demonstrado como a causa dos incidentes envolvendo caracteres chineses descritos aqui.
Da mesma forma, encontrar tokens suspeitos no vocabulário de um modelo não comprova que eles tenham causado uma resposta específica. Tokenization, model training, text generation e application-level processing são componentes diferentes de um sistema de IA.
Estabelecer uma conexão causal exigiria experimentos controlados e evidências técnicas que não estão publicamente disponíveis para esses incidentes.
5. O perigo maior: sabotagem de IA na corrida pela AGI
Minha preocupação vai além de caracteres inexplicáveis em uma notificação.
O que acontecerá quando sistemas de IA cada vez mais autônomos estiverem envolvidos em mercados financeiros, infraestrutura industrial, pesquisa científica, cibersegurança, análise de inteligência e suporte a decisões militares?
A corrida tecnológica e geopolítica rumo à inteligência artificial geral (AGI) já está em pleno andamento, impulsionada também pela perspectiva de alcançar a superinteligência artificial (ASI), cujas capacidades poderiam superar amplamente as humanas.
Mas o que acontecerá se essa competição se intensificar a ponto de a velocidade do desenvolvimento tecnológico ultrapassar nossa capacidade de garantir a segurança e a integridade desses sistemas?
Considere um sistema autônomo de IA responsável por analisar relatórios de inteligência durante uma crise internacional.
Um adversário poderia tentar introduzir instruções maliciosas nos documentos que o sistema deveria recuperar e resumir. Se essas instruções fossem seguidas, a análise resultante ou as ações subsequentes poderiam ser manipuladas.
Alternativamente, um atacante com acesso a um training pipeline ou a um pipeline de atualização de dados poderia tentar introduzir vieses sistemáticos ou triggers comportamentais ocultos.
Esses cenários são prospectivos, mas seus mecanismos fundamentais encontram respaldo em pesquisas existentes sobre cibersegurança.
As consequências podem se tornar mais graves à medida que os sistemas de IA ganhem autonomia operacional.
Uma resposta enganosa de um chatbot comum pode confundir um leitor. Um agente autônomo manipulado, com acesso a informações sensíveis ou ferramentas críticas, poderia provocar danos consideravelmente maiores.
A dimensão geopolítica é igualmente importante.
Uma corrida rumo à AGI pode criar incentivos para que governos e empresas implementem sistemas cada vez mais poderosos antes que suas propriedades de segurança sejam suficientemente compreendidas.
Ao mesmo tempo, competidores estratégicos podem adquirir incentivos cada vez maiores para comprometer as capacidades de IA de seus adversários.
Datasets, repositórios de software, informações recuperadas e agentes autônomos podem se tornar alvos de sabotagem.
Em um futuro confronto geopolítico, prompt injection e data poisoning poderão evoluir de vulnerabilidades técnicas para instrumentos de guerra estratégica.
Essa possibilidade merece atenção séria, mas não deve ser confundida com a causa da notificação que recebi.
Nada nos incidentes discutidos aqui estabelece o envolvimento do governo chinês, uma operação coordenada ou qualquer outra atribuição adversarial específica.
A presença de caracteres chineses não constitui evidência de autoria chinesa.
A ameaça é mais ampla: sistemas de IA cada vez mais poderosos podem se tornar alvos estrategicamente valiosos justamente porque sociedades e instituições dependem deles.
6. Inteligência sem integridade não é suficiente
A resposta apropriada não é o pânico nem a indiferença.
Os desenvolvedores precisam investigar sistematicamente anomalias inexplicáveis nos outputs, identificando se elas se originam na geração de texto, nos dados de treinamento, em informações recuperadas, no gerenciamento de contexto ou no software da aplicação.
Training pipelines exigem controles mais rigorosos de data provenance. Sistemas que recuperam conteúdos externos precisam estabelecer uma separação eficaz entre instruções confiáveis e informações não confiáveis.
Agentes autônomos devem operar com permissões restritas, validação independente de ações com consequências relevantes e supervisão humana apropriada.
O adversarial testing também precisa evoluir juntamente com as capacidades dos modelos, particularmente à medida que os sistemas de IA se integram cada vez mais profundamente a ferramentas e infraestruturas externas.
Acima de tudo, devemos evitar presumir que uma inteligência maior implica necessariamente uma confiabilidade maior.
Um sistema de IA pode resolver problemas matemáticos complexos, gerar software sofisticado e contribuir para descobertas científicas, permanecendo vulnerável a informações manipuladas ou a falhas inesperadas de geração.
Inteligência e robustez são propriedades diferentes.
À medida que a corrida rumo à AGI se acelera, melhorar a segurança e a confiabilidade precisa se tornar tão importante quanto ampliar as capacidades computacionais e de reasoning.
7. Conclusão: Uma reviravolta inesperada
Minha investigação começou com três caracteres chineses inexplicáveis e me levou a anomalias documentadas, pesquisas científicas sobre vocabulários contaminados de modelos e vulnerabilidades reais de segurança envolvendo prompt injection e data poisoning.
Nada do que encontrei comprova que minha notificação tenha resultado de um ataque cibernético. Mas os riscos mais amplos são reais, especialmente à medida que a IA autônoma se torna cada vez mais importante para infraestruturas críticas, segurança nacional e a corrida geopolítica rumo à AGI.
Há, entretanto, uma ironia final.
Ao revisar uma versão anterior deste mesmo artigo, descobri que o ChatGPT havia silenciosamente substituído os caracteres chineses originais, สล็อตออนไลน์, pela expressão tailandesa สล็อตออนไลน์, que significa aproximadamente “caça-níqueis online”.
Apontei o erro e solicitei uma correção.
Surpreendentemente, o ChatGPT cometeu exatamente o mesmo erro novamente. Na versão seguinte, reproduziu a expressão tailandesa nos dois lugares, descrevendo com confiança uma delas como o texto chinês original.
Eu havia pedido à IA que investigasse intrusões inexplicáveis de idiomas estrangeiros. Ela introduziu mais uma e depois repetiu o erro enquanto tentava corrigi-lo.
Aparentemente, meu assistente de IA estava tão determinado a investigar o fenômeno que decidiu reproduzi-lo para mim.
Referências
Pesquisa científica
- Zhang, Q., Wang, D., Qian, H., et al. (2025). Speculating LLMs’ Chinese Training Data Pollution from Their Tokens. Proceedings of EMNLP 2025, pp. 26113–26133. DOI: 10.18653/v1/2025.emnlp-main.1327.
- Greshake, K., Abdelnabi, S., Mishra, S., et al. (2023). Not What You’ve Signed Up For: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection. arXiv:2302.12173.
- Anthropic, UK AI Security Institute, and Alan Turing Institute (2025). A Small Number of Samples Can Poison LLMs of Any Size. October 9, 2025.
Incidentes documentados e relatos de desenvolvedores
- AI Incident Database (2024). Incident 729: GPT-4o’s Chinese Tokens Reportedly Compromised by Spam and Pornography.
- OpenAI Developer Community (January–February 2026). Chinese Gambling Characters in Codex CLI Message and Code Output?
- OpenAI Developer Community (February 2026). Is ChatGPT Hacked? Major Chinese Gambling Advertisements/Websites Showing Up in Output.
- OpenAI Developer Community (July 24, 2026). Random Chinese Lottery and Gambling References Showing! Includes a public response from OpenAI Support.
- OpenAI Developer Community (August–October 2026). Random Chinese Gambling/Spam Text Appeared in ChatGPT Android Reasoning Summary.
- OpenAI Developer Community (August–October 2026). Random Chinese Spam-like Text Appearing as Automatically Generated ChatGPT Chat Titles.
- OpenAI Developer Community (September–October 2026). Auto-generated Chat Title Contaminated with Unrelated Chinese Gambling String. Includes OpenAI Support’s October 15 response.
- OpenAI Developer Community (September 2026). Unrelated Chinese Gambling String Appended to Auto-generated Chat Title, Confirmed Across Two Platforms.
Diretrizes de segurança
- OWASP GenAI Security Project (2025). LLM01: Prompt Injection.
Maurício Veloso Brant Pinheiro, PhD
Professor of Physics, Federal University of Minas Gerais (UFMG)
Founder, Author and Editor, AI-Talks.org
About Us
Editorial transparency note: This article, as with all articles published on this site, was conceived, directed, written, and reviewed by Prof. Maurício Veloso Brant Pinheiro. Artificial intelligence was used as an assistant for editorial refinement, formatting, image generation, SEO metadata, and publication workflow.
Copyright 2026 AI-Talks.org
