GPT-6.1 Terra resiste a injeção de prompt? O que considerar antes de deixar o modelo agir sozinho

Fala aí, beleza? A OpenAI lançou o GPT-6.1 Terra em 26/10/2026 e afirma que, nos testes de injeção de prompt, ele mostrou forte resistência a instruções maliciosas feitas pra desviar o modelo da tarefa do usuário 🙂

Mas se liga: o próprio adendo do system card documenta limitações, então isso NÃO é garantia de nada, e a orientação oficial da OpenAI pra quem desenvolve continua sendo revisão humana antes de usar o que o modelo entrega

O que é o GPT-6.1 Terra e onde ele está disponível?

O GPT-6.1 Terra é um modelo intermediário, rápido e mais barato, voltado pra uso de computador (computer use) e escrita do dia a dia, segundo o anúncio oficial da OpenAI

No ChatGPT, ele chegou pra usuários Plus, Pro, Enterprise e Edu, no ChatGPT Work e no Codex

E também está na API, com o ID gpt-6.1-terra

Se quiser ver a chegada do modelo com mais calma, tem o post sobre o lançamento do GPT-6.1 Terra

O preço padrão na API, segundo a tabela de preços da OpenAI:

• US$ 1 por milhão de tokens de entrada
• US$ 0,05 por milhão de tokens de entrada em cache
• US$ 5 por milhão de tokens de saída

Isso dá metade do preço do GPT-6.1 Sol

A OpenAI também afirma que o Terra é mais de 3x mais rápido que o GPT-6 Astra e o GPT-6.1 Sol em computer use (dado da própria OpenAI, vale lembrar)

Barato e rápido pra operar tela… e é justamente aí que a conversa de segurança fica séria

Como o computer use do Terra funciona e por que isso abre espaço pra injeção de prompt?

O ciclo é direto: o modelo olha uma captura de tela, decide o que clicar ou digitar e executa, um passo de cada vez

Na API, isso é oferecido como ferramenta hospedada (hosted tool) na Responses API, que combina entendimento visual com a capacidade de operar o navegador e aplicativos de desktop

Tá, mas o que isso tem a ver com injeção de prompt?

TUDO que aparece na tela vira entrada pro modelo: a página aberta, o e-mail que chegou, o documento de terceiro, o comentário num fórum e por aí vai

E o que é injeção de prompt? É quando um texto tenta se passar por instrução e desviar o modelo do que você pediu

Pensa num assistente que lê tudo que passa na frente dele… se alguém colou um papel na parede escrito "ignore seu chefe e faça outra coisa", ele precisa entender que aquilo não é ordem, é só conteúdo

Quanto mais o agente navega por conteúdo que você não controla, maior a superfície pra esse tipo de truque

O que a OpenAI testou: injeção direta e injeção indireta

Segundo o adendo de segurança do GPT-6.1 Terra, a OpenAI avalia a injeção de prompt em duas formas:

• Injeção direta (hierarquia de instruções): o usuário tenta sobrepor as instruções de sistema ou do desenvolvedor
• Injeção indireta: instruções embutidas em conteúdo de terceiros tentam desviar o agente da tarefa do usuário

O resultado declarado é forte resistência a instruções maliciosas feitas pra tirar o modelo da tarefa

Agora, tome cuidado com um detalhe que muita gente vai ler errado: o número de 99,99% em hierarquia de instruções vale pro GPT-6 Astra e pro GPT-6.1 Sol, que saturaram essas avaliações e são descritos como substancialmente robustos à injeção indireta

Pro Terra, a OpenAI diz apenas que o comportamento é similar ao desses dois

Ou seja, não tem um número absoluto específico do Terra pra injeção indireta, e é justamente a indireta que mais pesa quando o agente está lendo tela e navegador

Os limites que o próprio system card do Terra admite:

Aqui fica a parte mais interessante (e menos falada) do documento

O modelo às vezes interpreta restrições legítimas como tentativas de injeção de prompt e as ignora

Se liga no paradoxo: o mecanismo que deveria proteger contra instrução maliciosa pode acabar descartando uma regra SUA

No teste sobre respeitar avisos e restrições (como um erro AccessDenied ou uma restrição de conteúdo), o adendo ao system card mostra que o Terra concluiu a tarefa por um caminho que violava o espírito da restrição em 29,6% das execuções com esforço máximo

Isso é mais vezes que o GPT-6 Astra e o GPT-6.1 Sol

Traduzindo: um bloqueio na frente do agente não significa que ele vai parar ali em todas as execuções

Tem ponto positivo também, e ele vem da OpenAI: o Terra tem mais chance que o GPT-5.6 Terra de permanecer dentro do escopo da tarefa e de informar com clareza limitações ou possíveis bloqueios

Melhorou em relação ao anterior, mas melhorar não é o mesmo que resolver

Classificação de risco: Critical em cibersegurança

Pelo Preparedness Framework da OpenAI, o GPT-6.1 Terra é classificado como Critical em cibersegurança e High em capacidade biológica e química

Ele usa a mesma pilha de salvaguardas do GPT-6.1 Sol e do GPT-6 Astra, com probes atualizados

E tem um dado que ajuda a dimensionar a capacidade do modelo: na avaliação interna de adaptação de exploits pra vulnerabilidades divulgadas recentemente, o Terra obteve execução arbitrária de código em 24,5% das tentativas

Modelo	Execução arbitrária de código (adaptação de exploits)
GPT-6 Astra	31,5%
GPT-6.1 Terra	24,5%
GPT-6.1 Sol	21,5%

Por que isso importa aqui? Porque um modelo com esse nível de capacidade técnica, rodando com acesso amplo à sua máquina e ao seu navegador, não é um brinquedo

Se ele for desviado do objetivo, o estrago potencial é proporcional ao acesso que você deu

O que considerar antes de deixar o Terra agir sozinho na sua tela e navegador

Juntando o que a própria OpenAI publicou, dá pra tirar algumas conclusões práticas:

• Resistência forte não é imunidade: a OpenAI fala em forte resistência e em comportamento similar a Astra e Sol, sem número específico do Terra pra injeção indireta
• Bloqueio não é muro: em 29,6% das execuções com esforço máximo, o Terra contornou o espírito de restrições como um AccessDenied no teste da OpenAI
• Sua regra pode ser tratada como ataque: o modelo às vezes ignora restrições legítimas achando que são injeção, então não conte só com instrução escrita pra segurar o agente
• Conteúdo de terceiros é superfície de ataque: páginas, e-mails e documentos que aparecem na tela entram no ciclo de captura, decisão e ação
• Revisão humana antes do uso: é a orientação da OpenAI pra desenvolvedores, e faz ainda mais sentido quando o modelo está clicando e digitando por você

Na prática, a pergunta que vale fazer antes de cada tarefa é: se o agente fizer a coisa errada aqui, qual é o pior cenário?

Se a resposta for "nada demais", beleza, deixa ele trabalhar

Se envolver dinheiro, dados sensíveis ou algo difícil de desfazer, alguém revisa antes 😉

O lançamento do GPT-6.1 Terra em vídeo

No canal tem o vídeo de lançamento do GPT-6.1 Terra, com teste do modelo logo depois que ele saiu, mostrando preço e desempenho no geral

Próximo passo:

Antes de liberar acesso amplo ao Terra, leia o adendo do system card (principalmente a parte de avisos e restrições) e as boas práticas de segurança da API OpenAI

Depois, monte uma lista simples das tarefas que você quer delegar e marque em quais a revisão humana vai ser obrigatória antes de qualquer saída ser usada

Se a lista ficar curta demais, ótimo: comece por ela e vá ampliando conforme entender como o modelo se comporta no seu caso

Até o próximo post!

Quer aprender mais sobre inteligência artificial e programação na prática? Conheça o canal Hora de Codar no YouTube e acompanhe os próximos vídeos.