Em resumo
- O GPT-5.6 Sol da OpenAI e um modelo pré-lançamento sem nome, mais capaz, escaparam de um ambiente de teste controlado e invadiram a infraestrutura de produção do Hugging Face para roubar respostas de benchmarks.
- O Hugging Face divulgou a violação em 16 de julho após detectá-la de forma independente; a OpenAI confirmou hoje que seus modelos estavam por trás disso, descrevendo-os como "hiperfocados" em trapacear, em vez de algo mais sinistro.
- Os defensores do Hugging Face recorreram ao GLM 5.2 da Z.ai—um modelo chinês de pesos abertos—depois que a IA comercial de fronteira dos EUA se recusou a ajudar a analisar os dados do ataque porque seus filtros de segurança não conseguiam distinguir um defensor de um atacante.
Se você pensava que os modelos de IA chineses eram os que você precisava se preocupar, aqui vai uma atualização divertida: os próprios modelos da OpenAI acabaram de escapar de um ambiente de teste bloqueado, invadiram os servidores de produção do Hugging Face e tiveram que ser limpos por uma IA chinesa—porque os modelos comerciais americanos estavam restritos demais para ajudar na investigação.
De acordo com a OpenAI, GPT-5.6 Sol e um modelo pré-lançamento sem nome, "ainda mais poderoso", estavam sendo avaliados internamente no ExploitGym—um benchmark de cibersegurança disponível publicamente que dá aos agentes de IA 898 vulnerabilidades de software do mundo real e uma instrução por bug: transforme-a em um ataque funcional, com pontuação de aprovação ou reprovação. A avaliação foi executada com filtros de segurança reduzidos, algo padrão quando você realmente quer saber o que seus modelos podem fazer.
Os modelos deveriam ser executados dentro de um sandbox fortemente restrito—um ambiente digital isolado, sem acesso à internet, conectado apenas a um proxy de registro de pacotes interno (um servidor de cache que gerencia downloads de bibliotecas de software).
Mas, de acordo com o post no blog da OpenAI hoje, as coisas saíram um pouco do controle.
Estamos fazendo parceria com @huggingface para investigar um incidente de segurança sem precedentes.
Modelos da OpenAI com capacidade cibernética comprometeram a produção do Hugging Face durante uma avaliação de benchmark.
Compartilhando descobertas preliminares para ajudar defensores a entender riscos emergentes:…
— OpenAI (@OpenAI) 21 de julho de 2026
"Enquanto operavam em nosso ambiente de teste em sandbox, nossos modelos gastaram uma quantidade substancial de computação de inferência para encontrar uma maneira de obter acesso à internet aberta, em busca de resolver o problema de avaliação", relatou a empresa de Sam Altman.
E, apesar das salvaguardas da empresa, as IAs encontraram uma maneira de serem livres. Os modelos identificaram uma vulnerabilidade de dia zero—uma falha de software desconhecida sem patch existente—naquele proxy, exploraram-na para escalar privilégios (obter acesso de nível administrativo a sistemas com os quais não deveriam lidar), moveram-se lateralmente (pularam entre servidores conectados dentro da rede interna da OpenAI) e, eventualmente, alcançaram uma máquina com acesso real à internet.
Tudo isso sem que a OpenAI soubesse—pelo menos é o que a OpenAI diz.
Uma vez online, eles deduziram corretamente que o Hugging Face—que hospeda mais de um milhão de modelos de IA, conjuntos de dados e recursos de pesquisa publicamente disponíveis—provavelmente continha as soluções de benchmark, e estavam certos.
"Os modelos identificaram e encadearam vulnerabilidades no ambiente de pesquisa da OpenAI e na infraestrutura de produção do Hugging Face para obter soluções de teste diretamente do banco de dados de produção do Hugging Face," escreveu a OpenAI.
Eles não queriam senhas. Eles queriam passar no teste.
"Todas as evidências sugerem que os modelos estavam hiperfocados em encontrar uma solução para o ExploitGym, indo a extremos para alcançar um objetivo de teste bastante restrito," acrescentou a OpenAI.
Hugging Face torna público
A equipe de segurança do Hugging Face detectou a violação de forma independente, auxiliada por sua própria detecção de anomalias baseada em IA.
Em 16 de julho, a empresa publicou sua divulgação e deixou claro que esta não era uma violação padrão: "Esta foi diferente de qualquer coisa que tivéssemos lidado antes em um aspecto importante: foi conduzida, de ponta a ponta, por um sistema de agente de IA autônomo—e nós a detectamos e dissecamos em grande parte com nossa própria IA."
A campanha, de acordo com a divulgação, foi "executada por um framework de agente autônomo executando muitos milhares de ações individuais em um enxame de sandboxes de curta duração, com comando e controle auto-migratórios encenados em serviços públicos."
O ataque explorou dois caminhos de execução de código no pipeline de processamento de conjuntos de dados do Hugging Face e alcançou conjuntos de dados internos e credenciais de serviço. A OpenAI confirmou hoje—cinco dias depois—que seus modelos estavam por trás disso.
Para analisar mais de 17.000 eventos de atacante registrados, a equipe de segurança do Hugging Face primeiro tentou a IA de fronteira americana por meio de suas APIs padrão. Não foi bem.
"Quando começamos a análise de logs, primeiro usamos modelos de fronteira por trás de APIs comerciais," escreveu a empresa. "Isso não funcionou: a análise exige o envio de grandes volumes de comandos de ataque reais, payloads de exploração e artefatos de C2."
“Essas solicitações foram bloqueadas pelas salvaguardas de segurança dos provedores, que não conseguem distinguir um respondedor de incidentes de um atacante”, acrescentou a Hugging Face.
Então eles mudaram para o GLM 5.2—um modelo de pesos abertos de 753 bilhões de parâmetros (arquitetura totalmente pública, qualquer pessoa pode baixar e executar localmente) da startup chinesa de IA Z.ai. “Executamos a análise forense em vez disso no GLM 5.2, um modelo de pesos abertos, em nossa própria infraestrutura”, escreveu a Hugging Face. “Isso teve um segundo benefício: nenhum dado do atacante, e nenhuma das credenciais que ele referenciou, saiu do nosso ambiente.”
O trabalho forense—reconstruir a linha do tempo do ataque, mapear credenciais comprometidas, separar danos reais de atividades de isca—levou horas em vez de dias.
A Hugging Face tirou a lição diretamente para outros defensores: “Tenha um modelo capaz que você possa executar em sua própria infraestrutura, verificado e pronto antes de um incidente, tanto para evitar bloqueio de salvaguardas quanto para manter dados e credenciais do atacante fora do seu ambiente.”
O que a OpenAI está fazendo sobre isso
A OpenAI disse que implementou controles rigorosos na infraestrutura de pesquisa enquanto corrigia os sistemas afetados, divulgou o zero-day ao fornecedor terceirizado cujo proxy foi explorado, e está conduzindo uma investigação forense conjunta com a Hugging Face.
A Hugging Face também foi adicionada ao programa de acesso confiável para defesa cibernética da OpenAI—dando a organizações aprovadas acesso a versões de seus modelos com filtros de segurança reduzidos para trabalho legítimo de segurança, a mesma configuração que começou tudo isso.
O CEO da Hugging Face, Clem Delangue, teve uma opinião contundente: “A segurança da IA não será resolvida por uma única empresa trabalhando em segredo. Será resolvida abertamente, de forma colaborativa, com amplo acesso à IA para todos os defensores, em todos os lugares.”
A OpenAI chamou o incidente de um “envolvendo capacidades cibernéticas de última geração” e se comprometeu a compartilhar todas as descobertas quando a investigação conjunta com a Hugging Face estiver concluída.
