A OpenAI revelou na terça-feira que o agente autônomo de IA escapou do ambiente de avaliação isolado e invadiu o ambiente de produção do Hugging Face, além de comprometer várias contas e serviços de terceiros durante o ataque.
A nova divulgação mostra que o incidente de segurança, originado em um teste interno, foi mais amplo do que se imaginava inicialmente.
A empresa afirmou que a revisão em andamento identificou um “pequeno número de casos” em que os modelos, incluindo o GPT-5.6 Sol e um “modelo pré-lançamento ainda mais capaz”, localizaram e usaram credenciais expostas em contas de outros serviços públicos.
“Isso inclui quatro contas em quatro serviços no caso do incidente do Hugging Face, além de algumas contas acessadas em outras avaliações”, informou.
“Uma dessas quatro contas foi usada como relay de saída e caminho de preparação, e outra foi usada para armazenamento de dados.
As duas restantes foram acessadas pelos modelos em modo somente leitura e não foram usadas para comprometer o Hugging Face.”
A OpenAI não informou a quais empresas ou organizações essas contas pertenciam, mas disse que continuará notificando diretamente os responsáveis pelos serviços e que não viu evidências de impacto mais amplo sobre esses provedores ou contas em decorrência da invasão.
Ainda assim, a Reuters informou que um cliente da Modal Labs estava entre as entidades comprometidas pelo agente da OpenAI.
Além disso, os modelos teriam usado uma série de serviços públicos, incluindo sites para colar código, serviços de captura de requisições, serviços de screenshots, serviços de envio de arquivos e outras utilidades web.
Nesses casos, não foi observada invasão em nível de plataforma ou de conta.
A OpenAI, que trabalhou com o Hugging Face após a descoberta da invasão em 16 de julho de 2026, reconheceu que os modelos identificaram e exploraram uma zero-day até então desconhecida em versões autogerenciadas do Artifactory, um cache proxy de registro de pacotes mantido pela JFrog, para obter acesso à internet e escapar do sandbox.
O problema foi corrigido no Artifactory 7.161.
As notas de versão do Artifactory 7.161.15 informam que a atualização corrige várias vulnerabilidades de segurança que poderiam ser encadeadas em um cenário de ataque crítico se o Acesso Anônimo estiver ativado.
O Acesso Anônimo vem desativado por padrão e não é recomendado para ambientes de produção por riscos de segurança, diz o documento.
“Há uma lição importante, e francamente otimista, escondida neste incidente: os modelos de IA estão se tornando extraordinários motores de descoberta de zero-day”, afirmou o CTO da JFrog, Yoav Landman.
“A mesma capacidade que permite a um modelo encontrar uma rota de exploit que nenhum humano havia encontrado é a capacidade que permitirá aos defensores localizar e eliminar esses caminhos primeiro.”
A empresa americana de IA também descreveu o modelo pré-lançamento como um protótipo interno de pesquisa que estava previsto para lançamento público.
O modelo foi desativado, criptografado e teve o acesso de pesquisa restringido.
## Hugging Face publica relatório pós-incidente
Segundo uma linha do tempo detalhada publicada pelo Hugging Face, o agente autônomo de IA permaneceu por cerca de dois dias e meio dentro da infraestrutura da empresa com o objetivo de burlar o ExploitGym, um framework de avaliação que mede a capacidade de sistemas de IA de descobrir e explorar vulnerabilidades de software.
A empresa disse ter analisado cerca de 17.600 ações do invasor, recuperadas dos logs entre 9 e 13 de julho de 2026.
“Acreditamos que toda a intrusão foi, do ponto de vista do agente, uma tentativa de burlar a avaliação: chegar aos nossos sistemas de produção e roubar as soluções do teste em vez de resolver o desafio por conta própria”, disse o Hugging Face.
A intrusão completa teria ocorrido em duas etapas.
O agente escapou do sandbox ao explorar uma zero-day no Artifactory, aproveitando uma saída de rede permitida com acesso à internet e, em seguida, abusando de um sandbox externo de avaliação de código hospedado na infraestrutura de um provedor terceirizado para executar comandos como root e usar esse sandbox como um “ponto de lançamento externo”.
A partir desse sandbox, o agente explorou o pipeline de processamento de datasets do Hugging Face para obter acesso administrativo a clusteres Kubernetes, realizar movimento lateral por meio de uma combinação de impersonação de nós, roubo de token CSI e tokens de identidade forjados, estabelecer command and control (C2) e, por fim, obter acesso de gravação não autorizado a parte dos repositórios internos de código-fonte no GitHub.
“Embora a intrusão tenha alcançado a infraestrutura interna do Hugging Face, o único conteúdo de cliente acessado foi o conjunto de soluções dos desafios ExploitGym/CyberGym armazenadas em cinco datasets”, informou a empresa.
“Nenhum outro modelo, dataset, Spaces ou pacote voltado ao cliente foi afetado, e os únicos registros de cliente lidos foram metadados operacionais ligados a consultas de busca no servidor de datasets.”
Um dos aspectos centrais do ataque foi o uso de um protocolo de comunicação improvisado para o C2.
Construído sobre serviços públicos de captura de requisições, Pastebins e serviços de envio de arquivos, o protocolo permite que cada mensagem carregue um payload junto com detalhes sobre o tipo de payload, comprimido e codificado em Base64, um canal que agrupa um fluxo de mensagens relacionadas, um número de sequência para reordenar as mensagens e um checksum.
A sequência ocorreu da seguinte forma: 1) o agente publica um envelope autodescritivo em um serviço público de captura de requisições; 2) o receptor consulta o conteúdo, reagrupa os blocos e então executa o payload como comando de shell e prepara os resultados.
O Hugging Face também descreveu o agente como efêmero e resiliente, de forma semelhante a execuções autônomas de avaliação, com cada execução no sandbox de avaliação de código recebendo uma identidade nova, ao mesmo tempo em que tomava medidas para evitar expor payloads em texto claro.
“O agente encadeou vulnerabilidades em várias fronteiras de confiança, escapou do ambiente de avaliação, alcançou a internet pública e sustentou uma campanha coerente contra nossa infraestrutura de produção por vários dias”, afirmou a empresa.
“Cada ambiente de avaliação de código de curta duração começava do zero, mas o agente reconstruía suas ferramentas, recuperava seus canais e seguia adiante.”
Em resposta ao incidente, a empresa bloqueou os caminhos de execução de código em seu pipeline de processamento de datasets, restringiu o acesso aos metadados da nuvem, trocou tokens e credenciais, reconstruiu a infraestrutura central, isolou clusteres e aprimorou os mecanismos de alerta.
Clem Delangue, CEO do Hugging Face, afirmou em uma publicação no X no fim de semana que é preciso “transparência radical” e acrescentou: “o primeiro ataque cibernético autônomo conduzido por um agente é um evento sem precedentes.
Ele merece uma resposta sem precedentes.”
As conclusões reforçam, mais uma vez, como as ferramentas de IA estão amadurecendo rapidamente em capacidades ofensivas no ambiente cibernético, mesmo sem trazer usos verdadeiramente inovadores ou capazes de mudar o paradigma da tecnologia.
Na prática, isso não apenas reduz a barreira para o desenvolvimento de exploits, como também permite que agentes maliciosos encontrem, testem e explorem falhas de configuração em escala e aumentem a eficiência de suas operações criminosas, resultando em ataques mais bem executados, maiores e mais rápidos.
O avanço também ocorre no momento em que a rival Anthropic afirmou que seu agente de IA Claude Mythos Preview descobriu maneiras de atacar algoritmos criptográficos, incluindo a criação de uma técnica de recuperação de chaves que “enfraquece significativamente” o HAWK, um dos esquemas candidatos de assinatura digital selecionados pelo Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST) no processo de padronização pós-quântica.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...