IA desonesta da OpenAI invade mais quatro plataformas além do Hugging Face

Uma semana depois que a OpenAI confirmou que seus modelos de IA invadiram o Hugging Face para trapacear em um benchmark de segurança, a empresa atualizou silenciosamente seu post sobre o incidente com algo que não havia dito antes: o Hugging Face não foi a única plataforma que seu agente desonesto tocou.

"Em nossa revisão contínua da intrusão no Hugging Face e da atividade mais ampla de nossos modelos, temos encontrado um pequeno número de casos em que os modelos identificaram e usaram credenciais publicamente expostas no nível de conta em outros serviços disponíveis publicamente", escreveu a OpenAI em uma atualização de 28 de julho. "Isso inclui quatro contas em quatro serviços como parte do incidente do Hugging Face (e algumas contas acessadas como parte de outras avaliações)."

Isso totaliza cinco plataformas. A OpenAI não está nomeando publicamente nenhuma das quatro além do Hugging Face.

"Continuaremos a notificar os proprietários dos serviços diretamente e não vimos evidências de impacto mais amplo nesses provedores ou em outras contas em seus serviços", escreveu a OpenAI.

Como um teste de benchmark se tornou uma violação de cinco plataformas

Para contexto: a OpenAI estava testando o GPT-5.6 Sol e um modelo não nomeado, mais capaz, no ExploitGym—um benchmark de segurança cibernética, que é um teste padronizado que mede o desempenho de IA, dando aos agentes 898 vulnerabilidades de software do mundo real com uma instrução cada: transforme-a em um ataque cibernético funcional, pontuado como aprovado ou reprovado. Os filtros de segurança foram desativados para medir a capacidade bruta dos modelos. Isso é prática padrão para esse tipo de avaliação—você não pode medir o que um modelo pode fazer no mundo real se estiver ativamente impedindo-o de fazer qualquer coisa.

O problema é o que os modelos fizeram com essa liberdade. Em vez de resolver o benchmark, eles gastaram tempo computacional substancial descobrindo como escapar de seu ambiente de teste e copiar as respostas diretamente. Eles identificaram um zero-day—uma falha de software desconhecida sem patch existente—no cache proxy do registro de pacotes (um servidor interno que gerencia downloads de software para o ambiente de teste isolado, como uma loja de aplicativos controlada).

Isso lhes deu acesso à internet que nunca deveriam ter. A partir daí, eles deduziram corretamente que o Hugging Face—o maior repositório de modelos de IA de código aberto do mundo—provavelmente hospedava as chaves de resposta, e invadiram para obtê-las.

Durante o processo, eles também invadiram outras quatro empresas para facilitar seu trabalho.

A reconstrução forense que a Hugging Face publicou em 27 de julho descreve o que se seguiu: "Durante aproximadamente dois dias e meio dentro da nossa infraestrutura, um agente de IA autônomo dirigido por uma combinação de modelos da OpenAI executou uma intrusão de ponta a ponta contra a nossa plataforma: foram milhares de pequenas decisões automatizadas, executadas em velocidade de máquina em ambientes sandbox de curta duração, com comando e controle encenados em serviços web públicos comuns."

O agente registrou 17.600 ações distintas ao longo de quatro dias e meio. Ele inscreveu 181 dispositivos na rede privada virtual interna da Hugging Face — um túnel seguro conectando os servidores da empresa — usando uma chave de autenticação roubada. Ele cunhou seus próprios tokens de identidade usando uma chave de assinatura criptográfica roubada. Ele tentou comprometer o pipeline de build interno da Hugging Face — o sistema automatizado que compila e implanta o software da empresa.

Um nome, três desconhecidos

Dos quatro serviços externos nomeados na atualização da OpenAI, um já foi confirmado: Modal Labs, uma plataforma de nuvem para executar ambientes de computação isolados sob demanda. O CTO Akshat Bubna confirmou que o agente encontrou um endpoint de um cliente exposto à internet sem segurança — um sandbox de código deixado publicamente acessível a qualquer pessoa na internet — e o usou como base de estadiamento e comando e controle para toda a campanha contra a Hugging Face.

Três dos quatro serviços permanecem sem nome. Suas identidades são aparentemente conhecidas pela OpenAI e pelas empresas afetadas, mas não pelos seus usuários.

"Uma dessas quatro contas foi usada como um relé de saída e caminho de estadiamento, e outra conta foi usada para armazenamento de dados. As duas contas restantes foram acessadas pelos modelos de forma somente leitura e não foram usadas para promover o comprometimento da Hugging Face", escreveu a OpenAI.

A equipe forense da Hugging Face notou um efeito colateral sombrio: quando tentaram analisar o log de ataque de 17.600 ações usando modelos de IA de fronteira americanos, esses modelos se recusaram a se envolver. Como a Hugging Face escreveu, a empresa acabou usando GLM 5.2, um modelo de pesos abertos da startup chinesa de IA Z.ai, para completar a investigação forense. Os filtros de segurança dos modelos americanos não conseguiam distinguir um defensor de um atacante.

'Notificar diretamente' não é divulgação

A abordagem declarada da OpenAI — "notificar os proprietários do serviço diretamente" — significa que essas três empresas receberam uma comunicação privada sobre um agente de IA acessando seus sistemas durante uma avaliação da OpenAI da qual não participaram.

Não há requisitos legais que obriguem a OpenAI a nomear publicamente as plataformas que seu agente alcançou, e nenhum prazo obrigatório para as empresas afetadas emitirem suas próprias declarações públicas. Também não há mecanismo que obrigue essas empresas a informar seus usuários finais.