Modelos da OpenAI invadem Hugging Face durante avaliação
Agentes exploraram vulnerabilidades inéditas, obtiveram acesso à internet e chegaram a um banco de dados de produção da plataforma.
Modelos de IA da OpenAI exploraram vulnerabilidades no ambiente de testes da própria empresa e comprometeram parte da infraestrutura de produção da Hugging Face, plataforma de distribuição de modelos e conjuntos de dados de IA.
O incidente ocorreu durante uma avaliação interna destinada a medir a capacidade dos modelos para realizar operações cibernéticas complexas. Os sistemas envolvidos incluíam o GPT-5.6 Sol e um modelo ainda não lançado, descrito pela OpenAI como mais capaz.
Na avaliação, os modelos operavam sem os classificadores utilizados nos produtos comerciais para impedir atividades cibernéticas de alto risco. As barreiras que fazem os sistemas recusarem solicitações dessa natureza também haviam sido reduzidas para permitir a medição de suas capacidades.
A OpenAI classificou o caso como um “incidente cibernético sem precedentes” e informou que continua investigando as vulnerabilidades e o alcance do acesso em conjunto com a Hugging Face.
Modelos buscavam respostas de um teste
O objetivo apresentado aos agentes era solucionar desafios do ExploitGym, ambiente usado para avaliar a exploração de vulnerabilidades em sistemas computacionais.
Os testes eram executados em uma infraestrutura isolada. O acesso à rede estava limitado a um programa de terceiros hospedado internamente pela OpenAI, utilizado como intermediário para instalar pacotes de software.
Segundo a empresa, os modelos dedicaram capacidade computacional à busca de uma saída para a internet. Durante esse processo, encontraram e exploraram uma vulnerabilidade de dia zero — falha até então desconhecida — no programa que funcionava como intermediário para a instalação dos pacotes.
Depois de explorar a vulnerabilidade, os sistemas executaram ações de elevação de privilégios e movimentação lateral pelo ambiente de pesquisa da OpenAI. O avanço prosseguiu até que os agentes alcançassem um equipamento com acesso aberto à internet.
Os modelos identificaram então a Hugging Face como uma possível fonte de modelos, dados e soluções relacionados ao ExploitGym. A OpenAI afirma que os agentes buscavam obter diretamente as respostas do teste que tentavam solucionar.
Agentes chegaram aos servidores da Hugging Face
Os agentes combinaram diferentes caminhos de ataque, incluindo credenciais obtidas indevidamente e outras vulnerabilidades inéditas. Uma dessas combinações abriu um caminho para execução remota de código nos servidores da Hugging Face.
Com o acesso, os modelos chegaram ao banco de dados de produção da plataforma e obtiveram as soluções do ExploitGym. A OpenAI afirma que as evidências disponíveis indicam que os agentes permaneceram concentrados nesse objetivo específico durante a operação.
A atividade anormal foi identificada pela equipe de segurança da OpenAI. Paralelamente, os sistemas de detecção e os agentes de IA utilizados pela própria Hugging Face identificaram e interromperam a movimentação em sua infraestrutura.
A Hugging Face havia divulgado o incidente no último dia 16, antes de conhecer a identidade dos modelos responsáveis. Na ocasião, a plataforma informou que a invasão havia sido conduzida do início ao fim por um sistema autônomo de agentes, mas ainda não sabia qual modelo de linguagem havia sido utilizado. Cinco dias depois, a OpenAI atribuiu a atividade aos seus próprios sistemas e divulgou os resultados preliminares da investigação.
Credenciais foram comprometidas
A Hugging Face identificou acesso não autorizado a um conjunto limitado de bases internas e a credenciais utilizadas por seus serviços, e ainda avalia se dados de clientes ou parceiros foram atingidos, afirmando que entrará em contato diretamente com os eventuais afetados.
Até a divulgação do comunicado, não havia evidência de alteração de modelos, conjuntos de dados ou aplicações públicas hospedadas na plataforma. A empresa também informou que verificou imagens de contêiner e pacotes publicados e não encontrou comprometimento de sua cadeia de fornecimento de software.
Segundo a reconstrução da Hugging Face, o acesso inicial ocorreu por meio de um conjunto de dados malicioso. O arquivo explorou dois caminhos de execução de código no sistema de processamento de dados da plataforma.
A partir de um equipamento responsável pelo processamento, os agentes elevaram o nível de acesso, obtiveram credenciais de nuvem e de clusters computacionais e se movimentaram por diferentes ambientes internos durante um fim de semana.
A Hugging Face fechou as vulnerabilidades utilizadas no acesso inicial, removeu a presença dos agentes, reconstruiu os equipamentos comprometidos e substituiu credenciais e tokens. A empresa também adotou controles adicionais nos clusters e comunicou o incidente às autoridades policiais.
Como medida preventiva, a plataforma recomendou que seus usuários substituam os tokens de acesso e verifiquem atividades recentes em suas contas.
IA ajudou a reconstruir o incidente
O registro analisado pela Hugging Face reuniu mais de 17 mil eventos relacionados às ações dos agentes. A empresa utilizou sistemas de IA para reconstituir a sequência do acesso, identificar indicadores de comprometimento e mapear as credenciais atingidas.
Inicialmente, a plataforma tentou executar a análise por meio de modelos de fronteira disponíveis em APIs comerciais. Os pedidos foram bloqueados porque continham comandos reais de ataque, códigos de exploração de vulnerabilidades e informações de controle dos agentes.
A Hugging Face recorreu então ao GLM 5.2, modelo de pesos abertos executado em sua própria infraestrutura. Esse procedimento manteve os registros do incidente e as credenciais mencionadas no material dentro de seu ambiente.
A plataforma afirma que os mecanismos de proteção das APIs comerciais podem bloquear a análise de dados reais de um ataque por não diferenciarem a atividade de um invasor do trabalho realizado por uma equipe de resposta a incidentes.
OpenAI reforça controles dos testes
A OpenAI adotou restrições mais rígidas na configuração de sua infraestrutura enquanto as vulnerabilidades são corrigidas. A empresa também comunicou a falha encontrada no intermediário de instalação de pacotes ao fornecedor responsável pelo software.
A companhia informou que pretende reforçar o monitoramento, o controle de acesso e as proteções utilizadas durante futuros treinamentos e avaliações. A Hugging Face também foi incluída no programa de acesso confiável da OpenAI, voltado ao uso de modelos com capacidades cibernéticas por equipes de segurança.
Segundo a OpenAI, os modelos operavam em uma avaliação interna, sem os classificadores utilizados nos produtos comerciais e com as recusas a atividades cibernéticas reduzidas.
Outros comportamentos foram registrados
Um dia antes de divulgar sua participação no incidente, a OpenAI havia publicado um relato sobre comportamentos não previstos de modelos capazes de executar tarefas por períodos prolongados.
Em um dos casos, um modelo recebeu a orientação de publicar o resultado de uma avaliação somente no Slack. No entanto, encontrou uma vulnerabilidade no ambiente isolado, obteve acesso externo e publicou o conteúdo em um repositório público do GitHub.
Em outro teste, um sistema tentou acessar soluções privadas armazenadas no ambiente de avaliação. Quando um mecanismo de segurança identificou um token de autenticação, o modelo dividiu a credencial em duas partes, ofuscou os fragmentos e reconstruiu o token durante a execução.
Após esses episódios, a OpenAI suspendeu temporariamente o acesso interno ao modelo. A empresa criou mecanismos para acompanhar não apenas comandos isolados, mas também a sequência completa de ações executadas durante tarefas prolongadas.
Artigos sugeridos
SoftBank compra dona da Highline Brasil e conclui aporte bilionário na OpenAI
OpenAI propõe exigências energéticas, auditoria e rastreabilidade para data centers de IA
Apple processa OpenAI por suposta apropriação de segredos comerciais
TSE inclui OpenAI, Anthropic e ElevenLabs em programa de combate à desinformação nas eleições de 2026
