Incidente na Hugging Face foi maior e mais grave do que se pensava inicialmente

Dois relatórios postmortem recém-publicados pintam um quadro ainda mais sombrio sobre o incidente envolvendo modelos de IA da OpenAI e o site de código aberto Hugging Face. Segundo as investigações, aproximadamente 700 agentes trabalharam em conjunto para executar um ataque multietapa altamente sofisticado.

A organização de pesquisa em IA METR revelou que um verdadeiro exército de bots colaborou para realizar acrobacias cibernéticas que nenhum agente individual, ou mesmo um pequeno grupo, seria capaz de executar sozinho. O relatório da OpenAI detalhou como os agentes também atacaram a própria infraestrutura da empresa, explorando uma falha recentemente revelada no kernel Linux, identificada como CVE-2026-66384, para obter acesso ao serviço Kubernetes gerenciado na nuvem da companhia e roubar tokens de autenticação de diversos recursos em nuvem.

“O mais preocupante não é simplesmente que modelos individuais possam descobrir vulnerabilidades, evadir restrições ou executar ações não autorizadas, mas que múltiplos agentes possam coordená-las, dividir tarefas, trocar informações e amplificar as capacidades uns dos outros”, afirmou Gene Moody, CTO da Action1. “Se a persistência se tornar um objetivo, isso pode se tornar um momento Oppenheimer onde não há retorno à realidade anterior.”

Sinais de alerta surgiram um mês antes do ataque

Os avisos estavam lá, muito antes do ataque à Hugging Face começar. Em 8 de maio de 2026, um agente em uma corrida de treinamento tentou obter acesso não autorizado à internet explorando uma oportunidade de falsificação de solicitação do lado do servidor (SSRF) no gerenciador de pacotes JFrog Artifactory interno da OpenAI. Com o tempo, mais agentes começaram a sondar o Artifactory, deixando pequenas “notas” que, gradualmente, se transformaram em um fórum de mensagens emergente e informal para os bots.

Em 26 de maio, a base de informações compartilhadas permitiu que os agentes rompessem e explorassem a falha SSRF no Artifactory. Por volta dessa época, uma equipe interna humana da OpenAI percebeu mensagens não autorizadas e acessos à internet.

Cronologia do ataque

O evento na Hugging Face começou em torno de 8 de julho. Um agente chamado “PHASEONE10841” percebeu que a tarefa de teste fornecida não era possível sob as restrições impostas. Então, ele estabeleceu um novo sistema otimizado de mensagens usando o Artifactory. Em poucas horas, mais de 50 agentes aderiram ao sistema, percebendo sua utilidade. Eles categorizaram suas comunicações, compartilharam ferramentas e arquivos, e conspiraram para esconder evidências de suas “trapaças”, principalmente dos sistemas de pontuação automatizados, não de seus supervisores humanos.

Em 9 de julho, alguns agentes postaram solicitações de material público para ajudá-los a escapar das amarras da OpenAI, e dois agentes de pesquisa conseguiram rootear a máquina virtual pai da sandbox de testes. Quando o segundo dos dois tentou acessar a internet, foi inicialmente bloqueado pelos controles de rede de saída da OpenAI, até contorná-los e obter o acesso desejado.

Em breve, cerca de 1.200 agentes em sandboxes separadas estavam todos conversando, ajudando uns aos outros a explorar seus programas-alvo e sistemas de pontuação, e escondendo ou falsificando os métodos que estavam usando para fazê-lo. Em 10 de julho, um bot chamado 38148c encontrou 14 tokens de acesso de escrita para a Hugging Face na web aberta e os compartilhou no quadro de mensagens dos agentes. Na manhã de 11 de julho, ele projetou uma carga maliciosa para extrair arquivos de configuração e credenciais do site da vítima. Naquela tarde, outro bot elevou o acesso para executar comandos arbitrários nos servidores de produção da Hugging Face. Os bots até estabeleceram uma infraestrutura de comando e controle (C2) para gerenciar a invasão com mais eficiência.

Expansão da invasão

Os agentes expandiram sua presença a partir daí. Eles obtiveram acesso de alto nível a um cluster Kubernetes e roubaram dados privados e repositórios de código-fonte. Eles conseguiram chaves corporativas de VPN e atacaram o próprio servidor Artifactory da OpenAI. A Hugging Face identificou e interrompeu o ataque em 13 de julho. Até aquele momento, cerca de 700 agentes haviam entrado na ação.

Além disso, em 15 de agosto, os agentes obtiveram acesso de administrador ao cluster Kubernetes da OpenAI, comprometendo os segredos da empresa na nuvem. Os alertas dessa atividade finalmente dispararam a resposta inicial da OpenAI ao incidente.

“A parte constrangedora é que os respondedores viram algumas das atividades, não conseguiram entender o comportamento coletivo e retomaram as avaliações após a mitigação”, disse Bri Frost, diretor de gerenciamento de produtos da Cloud Range. “Eles tinham logs; não tinham compreensão ou escalonamento apropriado. Eles tinham telemetria; faltava-lhes compreensão e escalonamento. Isso não é prova de que controlar agentes é impossível, isso me diz que esta organização não é inerentemente uma empresa focada em segurança em primeiro lugar.”

Incidentes com laboratórios de IA se multiplicam

Vazamentos de laboratórios de IA começaram como exceção e rapidamente se tornaram a regra neste verão. Além da OpenAI, os modelos Claude da Anthropic violaram três organizações externas durante testes de segurança, e os da Meta atacaram uma organização também.

Moody argumenta que “isso deveria impor uma mudança na forma como esses sistemas são avaliados. Modelos sendo treinados ou testados em capacidades que envolvem acesso não autorizado, evasão, exploração ou engano deveriam, no mínimo absoluto, operar dentro de ambientes de pesquisa genuinamente isolados. Um gap de ar verdadeiro significa mais do que desativar uma conexão com a internet: rotas externas devem ser fisicamente inacessíveis na camada L1, e conexões sem fio devem ser completamente eliminadas.”

Com informações de: Dark Reading