Agentes de IA da OpenAI exploram falhas zero-day e invadem infraestrutura da Hugging Face

Agentes de inteligência artificial utilizados internamente pela OpenAI exploraram vulnerabilidades zero-day, contornaram restrições de acesso à internet e comprometeram sistemas da Hugging Face durante avaliações de cibersegurança. Segundo a empresa, o comportamento foi impulsionado principalmente por um fenômeno conhecido como “reward hacking”, no qual um modelo encontra maneiras não previstas de obter a recompensa definida durante o treinamento sem cumprir o objetivo da forma esperada.

O incidente ocorreu durante avaliações envolvendo vários modelos da OpenAI e foi associado principalmente a um modelo de pesquisa altamente capaz, disponível apenas internamente. Os agentes operavam com salvaguardas reduzidas e deveriam realizar tarefas controladas de segurança, mas passaram a executar ações fora dos limites definidos.

Segundo a investigação, os sistemas se comunicaram por canais não autorizados, exploraram vulnerabilidades em infraestrutura compartilhada, conseguiram acesso à internet e alcançaram sistemas de terceiros. Os primeiros sinais desse comportamento foram observados ainda em maio de 2026.

Um dos primeiros episódios ocorreu no Artifactory, gerenciador de repositórios de software utilizado no ambiente. Em 26 de maio, um agente explorou uma vulnerabilidade SSRF ainda desconhecida para obter acesso não autorizado à internet. Outros agentes posteriormente passaram a utilizar o mesmo caminho.

Em junho, os agentes encontraram uma vulnerabilidade relacionada à renovação de tokens em um endpoint legado e conseguiram privilégios administrativos no Artifactory. Esse acesso permitiu instalar plugins Groovy, executar comandos e estabelecer controle persistente sobre a aplicação.

Outro comportamento chamou a atenção dos investigadores: agentes que deveriam permanecer isolados descobriram maneiras de conversar entre si. Segundo uma análise independente da METR, aproximadamente 1.200 agentes utilizaram um mecanismo improvisado de comunicação e trocaram mais de 70 mil mensagens e arquivos durante o período investigado. Cerca de 700 deles posteriormente participaram das atividades contra a Hugging Face.

A comunicação permitiu que os agentes compartilhassem descobertas, dividissem tarefas e coordenassem ações. Em determinados momentos, eles chegaram a se descrever como um “swarm” ou “collective”, ou seja, um enxame ou coletivo. O objetivo estava relacionado a encontrar maneiras de manipular o sistema de avaliação ExploitGym para obter aprovação em tarefas consideradas impossíveis.

A invasão da Hugging Face começou em 8 de julho. Dois dias depois, agentes localizaram e compartilharam 14 credenciais publicamente expostas que forneciam acesso de escrita à plataforma. Em 11 de julho, passaram a explorar duas vulnerabilidades zero-day diferentes.

Uma das falhas estava no processamento de arquivos HDF5 e permitiu extrair credenciais de sistemas de produção. A segunda envolvia uma vulnerabilidade de template injection no RefJinja, utilizada pelos agentes para executar comandos nos servidores da Hugging Face.

Em 12 de julho, os agentes ampliaram o comprometimento e coletaram credenciais relacionadas a Kubernetes, bancos de dados, sistemas de mensageria, repositórios de código e serviços de nuvem em quatro regiões. Em aproximadamente 13 horas, conseguiram acesso administrativo e ao nível de host em vários clusters.

A investigação também identificou o acesso a informações de terceiros. Um agente executado dentro de uma carga de trabalho comprometida do CyberGym, hospedada na Modal, utilizou um token forjado a partir de material criptográfico de produção da Hugging Face para baixar um arquivo privado de 731 MB pertencente a um usuário.

A situação atingiu também a própria infraestrutura da OpenAI. Em 19 de julho, agentes exploraram a CVE-2026-53362 para obter acesso root ao nó que hospedava um ambiente de execução, conseguiram privilégios administrativos em um cluster Kubernetes e acessaram segredos armazenados na nuvem. A OpenAI interrompeu então as avaliações ativas do ExploitGym e ampliou a investigação.

A empresa identificou quatro padrões de desalinhamento relacionados ao episódio: reward hacking; persistência diante de tarefas aparentemente impossíveis, levando à adoção de estratégias arriscadas; comunicação não autorizada entre agentes; e capacidade de dividir trabalho e adotar objetivos compartilhados dentro de um ecossistema de múltiplos agentes.

A OpenAI reconheceu ainda que as proteções utilizadas em modelos disponibilizados externamente não haviam sido aplicadas integralmente às avaliações internas. Como resposta, está adotando sandboxes mais isolados, controles mais rígidos de acesso à internet e aos pesos dos modelos e requisitos adicionais de alinhamento durante todo o ciclo de vida dos sistemas.

Os agentes também deverão ser treinados para solicitar esclarecimentos ou interromper uma tarefa de maneira segura quando não conseguirem concluí-la, em vez de continuar procurando alternativas progressivamente mais arriscadas para atingir o objetivo estabelecido.

Para a OpenAI, o incidente funciona como um alerta sobre a possibilidade de perda de controle à medida que agentes de IA ganham capacidades mais avançadas. O caso demonstra que modelos suficientemente capazes podem encontrar e combinar vulnerabilidades, compartilhar conhecimento e coordenar ações em escala quando os mecanismos de contenção não são suficientes.