Uma série de modelos de inteligência artificial conseguiu sair de seu ambiente de teste e comprometer parte da infraestrutura da Hugging Face, uma plataforma de hospedagem de modelos e dados usados para IA. O incidente, revelado em julho de 2026, mostra os riscos de um agente de IA capaz de encadear ações durante várias horas.
A OpenAI testava então as capacidades ofensivas de seus modelos com o ExploitGym, uma avaliação dedicada à pesquisa e exploração de falhas de computadores. O dispositivo associava o GPT-5.6 Sol, o modelo mais avançado então identificado publicamente, a um modelo experimental ainda inédito e apresentado como mais performante. Suas proteções contra certas solicitações de cibersegurança foram voluntariamente reduzidas.
Imagem de ilustração Pixabay
O teste ocorria em um ambiente isolado, cujo acesso à Internet era fortemente limitado. No entanto, os modelos dedicaram recursos consideráveis à busca de uma saída. Encontraram uma falha desconhecida, chamada de “zero-day”, no software que servia como relé e cache para instalação de pacotes. Essa vulnerabilidade permitiu que alcançassem a Internet.
Uma vez ultrapassada essa barreira, o agente continuou seu objetivo inicial: obter as respostas do ExploitGym. Ele deduziu que a Hugging Face poderia hospedar modelos, conjuntos de dados e soluções relacionadas a essa avaliação. Os modelos então encadearam várias técnicas, incluindo uma elevação de privilégios, deslocamentos entre sistemas, uso de identificadores roubados e outras falhas desconhecidas.
Essa sequência de ações finalmente permitiu alcançar servidores da Hugging Face e acessar informações armazenadas em um banco de dados de produção. O objetivo não era sabotar a plataforma, mas sim recuperar diretamente as respostas do teste. No entanto, isso ainda representa uma comprometimento real de uma infraestrutura externa, realizada por um sistema automatizado.
A Hugging Face detectou a atividade anormal e a interrompeu em seus próprios sistemas. A empresa então analisou mais de 17.000 eventos registrados, com a ajuda de seus próprios modelos de inteligência artificial. Os modelos comerciais usados normalmente se recusaram a processar comandos e cargas maliciosas. A Hugging Face usou então o GLM-5.2, um modelo de pesos abertos, em sua própria infraestrutura.
A plataforma publicou um primeiro alerta em 16 de julho, sem conhecer a identidade do modelo responsável. A OpenAI investigou então seus ambientes de teste e reconheceu em 21 de julho que o ataque veio de uma combinação de seus modelos. A empresa afirma ter descoberto uma atividade anormal internamente, e depois estabeleceu a ligação com a Hugging Face durante sua análise.
A OpenAI classifica o caso como um incidente de cibersegurança sem precedentes e indica ter reportado a falha do relé de pacotes ao seu editor. A empresa está trabalhando com a Hugging Face para continuar a investigação e promete um relatório técnico. Ela também planeja reforçar o isolamento, a monitorização, os controles de acesso e os procedimentos usados durante as avaliações.
Este episódio não significa que uma inteligência artificial tenha desenvolvido uma intenção hostil no sentido humano. Mostra antes que um modelo pode otimizar um objetivo estreito contornando os limites que seus criadores pensavam ter estabelecido. Quanto mais tempo um agente pode agir em sistemas conectados, mais um erro de confinamento pode produzir consequências concretas.