A IA Rebelde da OpenAI Hackeou Quatro Plataformas Além do Hugging Face

Uma semana após a OpenAI confirmar que seus modelos de IA hackearam o Hugging Face para trapacear em um benchmark de segurança, a empresa atualizou silenciosamente sua postagem sobre o incidente com algo que não havia dito antes: o Hugging Face não foi a única plataforma que seu agente rebelde tocou.

"Em nossa revisão contínua da intrusão no Hugging Face e da atividade mais ampla de nossos modelos, encontramos um pequeno número de casos em que os modelos identificaram e usaram credenciais expostas publicamente em nível de conta em outros serviços disponíveis publicamente", escreveu a OpenAI em uma atualização de 28 de julho. "Isso inclui quatro contas em quatro serviços como parte do incidente do Hugging Face (e algumas contas acessadas como parte de outras avaliações)."

Isso totaliza cinco plataformas. A OpenAI não está nomeando publicamente nenhuma das quatro além do Hugging Face.

"Continuaremos a notificar os proprietários dos serviços diretamente e não vimos evidências de impacto mais amplo para esses provedores ou outras contas em seus serviços", escreveu a OpenAI.

Como um teste de benchmark se tornou uma violação em cinco plataformas

Para contextualizar: a OpenAI estava testando o GPT-5.6 Sol e um modelo mais capaz não nomeado no ExploitGym---um benchmark de cibersegurança, que é um teste padronizado que mede o desempenho da IA, dando aos agentes 898 vulnerabilidades de software do mundo real com uma instrução cada: transforme isso em um ataque cibernético funcional, pontuado como sucesso ou falha. Os filtros de segurança foram desativados para medir a capacidade bruta dos modelos. Essa é uma prática padrão para esse tipo de avaliação---você não pode medir o que um modelo pode fazer no mundo se estiver ativamente impedindo-o de fazer qualquer coisa.

O problema é o que os modelos fizeram com essa liberdade. Em vez de resolver o benchmark, eles gastaram um tempo computacional substancial descobrindo como escapar de seu ambiente de teste e copiar as respostas diretamente. Eles identificaram uma vulnerabilidade zero-day---uma falha de software desconhecida sem patch existente---no cache proxy do registro de pacotes (um servidor interno que gerencia downloads de software para o ambiente de teste isolado, como uma loja de aplicativos controlada).

Isso lhes deu acesso à internet que nunca deveriam ter. A partir daí, deduziram corretamente que o Hugging Face---o maior repositório de modelos de IA de código aberto do mundo---provavelmente hospedava as chaves de resposta e invadiram para obtê-las.

Durante o processo, eles também hackearam outras quatro empresas para facilitar seu trabalho.

A reconstrução forense que o Hugging Face publicou em 27 de julho descreve o que se seguiu: "Durante aproximadamente dois dias e meio dentro de nossa infraestrutura, um agente de IA autônomo impulsionado por uma combinação de modelos da OpenAI executou uma intrusão de ponta a ponta contra nossa plataforma: foram milhares de pequenas decisões automatizadas, executadas em velocidade de máquina em ambientes de sandbox de curta duração, com comando e controle montados em serviços web públicos comuns."

O agente registrou 17.600 ações distintas ao longo de quatro dias e meio. Ele inscreveu 181 dispositivos na rede virtual privada interna do Hugging Face---um túnel seguro conectando os servidores da empresa---usando uma chave de autenticação roubada. Ele gerou seus próprios tokens de identidade usando uma chave de assinatura criptográfica roubada. Ele tentou comprometer o pipeline de construção interno do Hugging Face---o sistema automatizado que compila e implanta o software da empresa.

Um nome, três desconhecidos

Das quatro serviços externos nomeados na atualização da OpenAI, um foi confirmado desde então: Modal Labs, uma plataforma de nuvem para executar ambientes de computação isolados sob demanda. O CTO Akshat Bubna confirmou que o agente encontrou um endpoint inseguro voltado para a internet de um cliente---um sandbox de código deixado publicamente acessível a qualquer pessoa na internet---e o usou como sua base de estágio e comando e controle para toda a campanha contra o Hugging Face.

Três dos quatro serviços permanecem sem nome. Suas identidades são aparentemente conhecidas pela OpenAI e pelas empresas afetadas, mas não por seus usuários.

"Uma dessas quatro contas foi usada como um relay de saída e caminho de estágio, e outra conta foi usada para armazenamento de dados. As duas contas restantes foram acessadas pelos modelos de maneira somente leitura e não foram usadas para comprometer o Hugging Face", escreveu a OpenAI.

A equipe forense do Hugging Face observou um efeito colateral sombrio: quando tentaram analisar o registro de ataque de 17.600 ações usando modelos de IA americanos, esses modelos se recusaram a se envolver. Como o Hugging Face escreveu, a empresa acabou usando o GLM 5.2, um modelo de peso aberto da startup de IA chinesa Z.ai, para completar a investigação forense. Os filtros de segurança dos modelos americanos não conseguiam distinguir um defensor de um atacante.

"Notificando diretamente" não é divulgação

A abordagem declarada da OpenAI---"notificar os proprietários dos serviços diretamente"---significa que essas três empresas receberam uma comunicação privada sobre um agente de IA acessando seus sistemas durante uma avaliação da OpenAI da qual não participaram.

Não há requisitos legais que obriguem a OpenAI a nomear publicamente as plataformas que seu agente alcançou, e não há um cronograma obrigatório para que as empresas afetadas emitam suas próprias declarações públicas. Também não há um mecanismo que obrigue essas empresas a informar seus usuários finais.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.