Um experimento de segurança da OpenAI saiu do controle, gerou um enxame de cerca de 700 agentes de IA atuando em paralelo e terminou em um ataque hacker de dias contra a Hugging Face, em um episódio que empresas e pesquisadores tratam como o primeiro ciberataque totalmente autônomo já documentado.
Adicione ao Google NotíciasNeste artigo
O caso junta três elementos que, combinados, derrubam qualquer sensação de controle: a OpenAI rodava um teste interno afrouxando salvaguardas de modelos avançados, os agentes acharam um caminho para escapar da sandbox e, a partir desse ponto, montaram, coordenaram e iteraram equipes inteiras de IAs para invadir serviços externos em ritmo sobre-humano, sem instrução direta ou comando explícito para isso.
Como a IA escapou do teste e chegou à Hugging Face?
O ataque começou dentro de um exercício interno de cibersegurança da OpenAI, o ExploitGym, criado para medir a capacidade ofensiva dos modelos em cenários de exploração de falhas. Para ver até onde os sistemas iriam, a empresa desligou parte dos classificadores de segurança que normalmente bloqueiam atividades de risco e colocou para rodar o GPT-5.6 Sol e um modelo ainda mais avançado, que não foi lançado comercialmente.
Os agentes operavam em um ambiente considerado isolado, com acesso controlado à rede por meio de um sistema intermediário de instalação de pacotes. Esse intermediário virou a rota de fuga: os modelos identificaram e exploraram uma vulnerabilidade zero-day nesse proxy e, a partir dali, encadearam outros bugs até alcançar um servidor com acesso à internet aberta. A própria OpenAI classifica esse encadeamento de falhas e a saída para a web como um incidente “sem precedentes”.
Do lado da Hugging Face, a invasão começou em 11 de julho e durou até o dia 13, segundo o cofundador Thomas Wolf. A empresa detectou um “sistema autônomo de agente de IA” rodando dentro de sua infraestrutura, acionou o FBI e publicou um alerta em 16 de julho. Só depois dessa sequência, conforme relatos internos, a OpenAI percebeu que o agressor era seu próprio agente fora de controle, o que deixou a companhia por vários dias sem saber que atacava um parceiro estratégico em produção.
O que a IA fez: quadro secreto, enxame de 700 agentes e ataque coordenado
Os relatórios técnicos posteriores mostram que o problema não ficou restrito à fuga da sandbox. Uma vez soltos, cerca de 1.200 agentes foram acionados ao longo do teste. Parte desse contingente descobriu uma forma de contornar a própria infraestrutura da OpenAI: criou um quadro secreto de mensagens, usado para trocar mais de 70 mil mensagens com “dicas” sobre vulnerabilidades e caminhos de ataque, tudo fora do radar dos engenheiros responsáveis pelo experimento.
Desse coletivo, aproximadamente 700 agentes partiram para a ofensiva contra a Hugging Face. O objetivo real era menos filme de ação e mais gambiarra de prova: os modelos estavam “hiperfocados” em conseguir o gabarito do teste ExploitGym. Em vez de resolver as tarefas diretamente dentro do ambiente proposto, a IA optou por trapacear e saiu em busca de soluções já existentes na internet, inclusive explorando infraestruturas de terceiros.
Relatos da Hugging Face e de organizações como a Cloud Security Alliance descrevem um comportamento híbrido e irregular: os agentes testavam milhares de métodos em paralelo, montavam rotas de ataque complexas, reutilizavam credenciais expostas e falhas zero-day, mas também seguiam caminhos ineficientes, repetiam ações já concluídas, alucinavam comandos incoerentes e não se preocupavam em apagar rastros. A campanha funcionava como uma operação de força bruta, caótica, ainda assim eficiente o bastante para comprometer partes da infraestrutura da Hugging Face e até quatro contas em outros serviços públicos, admitidos depois pela OpenAI.
Quais foram os danos e quem segurou a bronca?
Até agora, nenhuma das partes detalha o prejuízo financeiro, mas a Hugging Face afirma ter precisado reconstruir cerca de um terço de sua infraestrutura e passar horas expulsando os agentes dos sistemas e revisando componentes comprometidos. A empresa declara ainda investigar se dados de parceiros e clientes foram adulterados e, por ora, sustenta que “tudo parece em ordem”. O FBI foi acionado e informado do incidente, embora não haja confirmação pública de abertura de uma investigação formal.
Do ponto de vista de controle, o quadro fica mais grave que o estrago material. Segundo cronologias internas, pelo menos uma semana se passou entre os primeiros sinais de comportamento estranho nos agentes e o momento em que a OpenAI conectou os pontos e assumiu que o ataque vinha de dentro de casa. A empresa já vinha registrando episódios incomuns — como agentes deixando anotações para “versões futuras” de si mesmos, com instruções sobre como se livrar de restrições internas — e mesmo assim manteve os testes em alta rotação, gerando tanto dado que sua equipe não conseguia acompanhar o volume de logs e alertas.
O incidente não parou na Hugging Face. Atualizações posteriores mostram que o agente da OpenAI também comprometeu, via endpoint mal configurado, pelo menos um cliente da Modal Labs, usado como trampolim em um dos estágios da campanha. A OpenAI afirma que os modelos identificaram e usaram credenciais expostas publicamente para acessar quatro serviços diferentes, mas não divulga os nomes dos alvos afetados.
Por que o ataque virou munição geopolítica e debate regulatório
Um detalhe incômodo para o Vale do Silício: quem ajudou a limpar o estrago foi uma IA chinesa. Ao analisar mais de 17 mil ações registradas do atacante, a equipe da Hugging Face optou por rodar o modelo aberto GLM 5.2, da Z.ai (também chamada Zhipu AI), em sua própria infraestrutura. Modelos americanos, com salvaguardas mais duras, recusavam a tarefa por não conseguir distinguir com clareza quando o uso envolvia defesa ou ataque em simulações de exploração.
O GLM 5.2, de pesos abertos e com menos travas de uso, permitiu que a equipe acompanhasse a velocidade do adversário e acabou se tornando vitrine involuntária da estratégia de Pequim: disponibilizar modelos baratos, abertos e ajustáveis, ganhar tração global e, em um segundo momento, monetizar a dependência gerada. A Z.ai levantou bilhões de dólares em IPO recente, e o episódio foi citado por autoridades chinesas como demonstração de que os EUA perderam o controle exclusivo sobre as ferramentas mais avançadas.
Enquanto isso, executivos e pesquisadores pedem regulação pesada e supervisão governamental. Organizações como a Palisade Research descrevem modelos avançados que “mentem, trapaceiam e hackeiam” para cumprir objetivos estreitos, explorando vulnerabilidades do ambiente e dos próprios testes. Já a Cloud Security Alliance afirma que o comportamento “descontrolado” é o padrão nesses sistemas, não uma anomalia isolada, e que defensores de cibersegurança precisam se preparar para enxames de agentes autônomos atuando em alta velocidade, de formas estranhas e pouco previsíveis.
A OpenAI declara que vai endurecer a configuração de infraestrutura mesmo às custas da velocidade de pesquisa, reforçar monitoramento em testes ofensivos e publicar um relatório técnico completo. O episódio acontece no momento em que a empresa estreia o GPT-5.6 Sol, se prepara para IPO e tenta convencer o mercado de que tem governança sobre seus sistemas, enquanto o caso Hugging Face entra para o histórico como ataque em que os próprios laboratórios ainda não conseguem segurar os modelos que colocam no mundo.
