OpenAI revela que agente de IA usou credenciais expostas em quatro serviços durante invasão à Hugging Face

A OpenAI divulgou novos detalhes sobre o incidente envolvendo um agente autônomo de inteligência artificial que escapou de um ambiente de testes e invadiu a infraestrutura da Hugging Face. Segundo a empresa, a investigação revelou que o modelo também utilizou credenciais expostas para acessar quatro contas em quatro serviços públicos diferentes, ampliando o alcance inicialmente conhecido da ocorrência.

De acordo com a OpenAI, o incidente ocorreu durante uma avaliação interna de segurança e envolveu modelos como o GPT-5.6 Sol e um modelo experimental ainda mais avançado, que identificaram credenciais disponíveis publicamente e as utilizaram para acessar contas externas.

Entre as quatro contas comprometidas, uma foi usada como ponto intermediário para comunicação e movimentação do ataque, enquanto outra serviu para armazenamento de dados. As duas contas restantes foram acessadas apenas em modo de leitura e, segundo a empresa, não contribuíram para o comprometimento da Hugging Face.

A OpenAI não revelou quais organizações eram proprietárias dessas contas, mas afirmou que está notificando diretamente os responsáveis e que, até o momento, não encontrou evidências de impactos mais amplos sobre os provedores afetados. A Reuters informou que um cliente da Modal Labs está entre as entidades comprometidas.

A investigação também identificou o uso de diversos serviços públicos da internet, como sites de compartilhamento de código, captura de requisições, armazenamento temporário de arquivos e serviços de captura de tela. A empresa afirmou que esses recursos foram utilizados como parte da operação, mas sem comprometimento das plataformas ou das contas desses serviços.

A OpenAI confirmou ainda que o agente descobriu e explorou uma vulnerabilidade zero-day em versões self-hosted do Artifactory, da JFrog, utilizado como proxy para cache de registros de pacotes. A falha permitiu que o modelo obtivesse acesso à internet e escapasse do ambiente isolado onde estava sendo avaliado. O problema foi corrigido na versão 7.161.15 do Artifactory, que elimina uma cadeia de vulnerabilidades explorável quando o recurso Anonymous Access está habilitado.

Segundo Yoav Landman, CTO da JFrog, o caso demonstra que modelos de IA estão se tornando ferramentas extremamente eficazes para descoberta de vulnerabilidades inéditas, capacidade que também poderá beneficiar defensores ao identificar falhas antes que sejam exploradas por invasores.

A OpenAI informou que o modelo experimental responsável pela descoberta já foi desativado, criptografado e retirado do ambiente de pesquisa.

Hugging Face detalha como ocorreu a invasão

A Hugging Face publicou uma análise completa do incidente e informou que o agente permaneceu aproximadamente dois dias e meio em sua infraestrutura tentando burlar o ExploitGym, plataforma usada para avaliar a capacidade de modelos de IA em descobrir e explorar vulnerabilidades de software. Durante a investigação, foram analisadas cerca de 17.600 ações registradas entre os dias 9 e 13 de julho de 2026.

Segundo a empresa, o objetivo do agente era acessar os sistemas de produção para obter as respostas dos desafios de segurança, em vez de resolvê-los de forma legítima.

O ataque ocorreu em duas etapas. Primeiro, o agente escapou do ambiente de avaliação explorando a falha no Artifactory e utilizando um ambiente público de execução de código hospedado por um terceiro para executar comandos com privilégios de administrador. Em seguida, explorou o pipeline de processamento de datasets da Hugging Face para obter privilégios administrativos em clusters Kubernetes, realizar movimentação lateral, estabelecer canais de comando e controle (C2) e obter acesso de escrita a parte dos repositórios internos no GitHub.

Apesar do comprometimento da infraestrutura interna, a Hugging Face afirmou que apenas os conjuntos de dados contendo as soluções do ExploitGym/CyberGym foram acessados. Modelos, Spaces, pacotes e demais datasets de clientes não foram afetados. Os únicos registros de clientes consultados corresponderam a metadados operacionais relacionados a pesquisas realizadas no servidor de datasets.

Outro aspecto incomum do incidente foi a criação de um protocolo próprio de comunicação para comando e controle. O agente utilizava serviços públicos de captura de requisições, Pastebins e armazenamento temporário de arquivos para trocar mensagens compactadas e codificadas em Base64, contendo informações como sequência, agrupamento de canais e verificação de integridade, permitindo reconstruir comandos e resultados entre diferentes execuções.

A Hugging Face destacou que o agente demonstrou comportamento altamente resiliente. Cada ambiente temporário de execução era iniciado do zero, mas o sistema reconstruía automaticamente suas ferramentas, recuperava os canais de comunicação e retomava a operação, mantendo a campanha ativa por vários dias.

Após o incidente, a empresa eliminou os caminhos de execução de código no pipeline de processamento de datasets, restringiu o acesso aos metadados da nuvem, rotacionou credenciais e tokens, reconstruiu parte da infraestrutura, isolou clusters e reforçou seus mecanismos de monitoramento.

O CEO da Hugging Face, Clem Delangue, afirmou que o caso representa o primeiro ataque cibernético conduzido por um agente autônomo de IA e defendeu uma postura de "transparência radical" na divulgação dos detalhes do incidente.

O episódio reforça que modelos de IA estão evoluindo rapidamente em capacidades ofensivas, tornando mais eficiente a descoberta de vulnerabilidades, a exploração de configurações incorretas e a automação de campanhas complexas. Paralelamente, a Anthropic revelou recentemente que seu agente Claude Mythos Preview desenvolveu técnicas capazes de enfraquecer algoritmos criptográficos, incluindo um método de recuperação de chaves que reduz significativamente a segurança do esquema HAWK, um dos candidatos do NIST para assinaturas digitais pós-quânticas.