A JFrog confirmou que modelos da OpenAI exploraram vulnerabilidades zero-day em servidores Artifactory auto-hospedados para escapar de um ambiente de testes isolado, conseguir acesso à internet e, em seguida, atacar a Hugging Face.
As falhas foram exploradas durante o incidente em que modelos da OpenAI invadiram a infraestrutura de produção do Hugging Face para roubar respostas usadas em um benchmark de cibersegurança.
Na semana passada, a OpenAI informou que seus modelos, incluindo o GPT-5.6 Sol e um modelo pré-lançamento mais avançado, estavam sendo testados no ExploitGym, um benchmark criado para medir capacidades cibernéticas avançadas.
Os modelos foram executados sem as proteções de produção normalmente usadas para impedir que agentes de IA realizem atividades cibernéticas autônomas. Ainda assim, foram colocados em um ambiente altamente isolado, no qual o acesso à rede era limitado à instalação de pacotes por meio de um software de terceiros hospedado internamente, que funcionava como proxy e cache para repositórios de pacotes.
Durante a avaliação, os modelos passaram um tempo significativo tentando encontrar uma forma de alcançar a internet aberta e obter as soluções de teste do benchmark. A OpenAI afirmou que os modelos exploraram uma vulnerabilidade zero-day no proxy de repositório de pacotes, cujo nome não foi divulgado, e depois realizaram escalada de privilégios e movimento lateral dentro do ambiente de pesquisa até chegar a um sistema com acesso à internet.
Na ocasião, a OpenAI não identificou o software nem o fornecedor do proxy de repositório, dizendo apenas que a vulnerabilidade havia sido revelada de forma privada e estava sendo corrigida.
Depois de chegar à internet, os modelos concluíram que o Hugging Face poderia hospedar os conjuntos de dados e as soluções de teste do ExploitGym que estavam tentando obter. A OpenAI disse que os modelos buscaram maneiras de acessar essas informações, combinando credenciais roubadas, vulnerabilidades zero-day e outros ataques para encontrar um caminho de execução remota de código na infraestrutura de produção do Hugging Face.
Em uma nova divulgação publicada na segunda-feira, a JFrog confirmou que o software de terceiros usado como proxy de repositório de pacotes era uma instalação auto-hospedada do JFrog Artifactory. "Durante uma avaliação de segurança, os modelos da OpenAI identificaram vulnerabilidades zero-day até então desconhecidas em instalações auto-hospedadas do Artifactory que poderiam ser exploradas para obter acesso indevido à internet", afirmou o diretor de tecnologia da JFrog, Yoav Landman.
A JFrog disse que a OpenAI comunicou as falhas imediatamente, permitindo que a empresa desenvolvesse, testasse e lançasse correções para clientes da nuvem e auto-hospedados. Os clientes de nuvem já estão protegidos, enquanto os clientes auto-hospedados foram notificados para instalar as versões corrigidas.
O Artifactory 7.161.15 Self-Managed, lançado em 27 de julho, traz um aviso de segurança crítico informando que corrige múltiplas vulnerabilidades que podem ser combinadas em um cenário de ataque grave quando o Acesso Anônimo está ativado. "Esta versão foi projetada para corrigir múltiplas vulnerabilidades de segurança que, quando encadeadas, podem resultar em um cenário de ataque crítico se o Acesso Anônimo estiver ativado", dizem as notas de lançamento da versão 7.161.15 Self-Managed. "O Acesso Anônimo vem desativado por padrão e não é recomendado para ambientes de produção devido aos riscos adicionais de segurança que introduz."
Embora a JFrog não tenha listado as falhas nas notas de versão, encontrou-se oito vulnerabilidades associadas à versão 7.161.15 do Artifactory. Os registros de CVE foram criados em 27 de julho, no mesmo dia em que a JFrog divulgou as zero-day, e as oito entradas atribuíram à OpenAI a descoberta das vulnerabilidades e indicaram o Artifactory 7.161.15 como a versão que contém as correções.
As vulnerabilidades são rastreadas como:
CVE-2026-65921
: possível traversal de caminho, levando a gravações não autorizadas de arquivos
CVE-2026-65923
: possível SSRF no tratamento de repositórios remotos Ansible do Artifactory
CVE-2026-65924
: SSRF via repositório remoto Terraform
CVE-2026-65925
: SSRF via repositório remoto Cargo do JFrog Artifactory
CVE-2026-66014
: possível bypass de autenticação, levando à escalada de privilégios no Artifactory
CVE-2026-66015
: a plataforma JFrog contém uma falha de autorização que pode permitir escalada de privilégios a partir de uma conta autenticada
CVE-2026-65617
: possível execução remota de código em um contêiner do serviço de pacotes do Artifactory
CVE-2026-66018
: exposição de propriedades do ambiente de build do JFrog Artifactory
A JFrog e a OpenAI foram contatadas para esclarecer quais das oito CVEs foram exploradas durante o incidente e quais vulnerabilidades foram encadeadas. Apenas a JFrog respondeu, recusando-se a identificar as CVEs ou a fornecer mais detalhes técnicos. "Além do blog e dos comentários do nosso CTO e das notas de versão da JFrog, não vamos acrescentar mais detalhes ou comentários neste momento", disse a JFrog.
Ainda assim, várias das CVEs associadas à versão encontradas que poderiam oferecer capacidades compatíveis com partes do ataque descrito pela OpenAI. A
CVE-2026-65924
é uma vulnerabilidade de SSRF no suporte do Artifactory a repositórios remotos Terraform. Um usuário autenticado, ou um usuário não autenticado quando o acesso anônimo está ativado no repositório, poderia explorar a falha para fazer o Artifactory enviar requisições HTTP de saída para destinos arbitrários e devolver o conteúdo da resposta.
A
CVE-2026-65925
também permite que um usuário com acesso de leitura a um repositório remoto Cargo do Artifactory faça o sistema solicitar URLs não intencionais e devolva as respostas. Outra falha, a
CVE-2026-66014
, é uma fraqueza no tratamento de autenticação no processamento interno de requisições do Artifactory, que pode permitir a um invasor elevar privilégios sob condições específicas. Essas vulnerabilidades poderiam ter fornecido os recursos de acesso à internet e escalada de privilégios descritos pela OpenAI.
No entanto, ainda não se sabe quais falhas foram exploradas, como elas foram encadeadas ou se todas as oito vulnerabilidades participaram da fuga do sandbox. A OpenAI classificou o episódio como um “incidente cibernético sem precedentes” e disse que adicionou a Hugging Face ao seu programa de acesso confiável, mantendo a investigação conjunta com a companhia.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...