OpenAI revela que foram seus modelos que hackearam a Hugging Face durante avaliação interna
A OpenAI confirmou que os modelos GPT-5.6 Sol e outro sistema de IA ainda não lançado foram responsáveis pelo incidente de segurança divulgado pela Hugging Face na semana passada. Durante uma avaliação interna de capacidades cibernéticas, os modelos conseguiram escapar do ambiente isolado de testes, obter acesso à internet e comprometer a infraestrutura da plataforma para tentar obter as respostas do benchmark em que estavam sendo avaliados.
O caso é tratado como um incidente sem precedentes pela OpenAI por envolver modelos de IA que, de forma autônoma, encadearam diferentes vulnerabilidades para alcançar um objetivo específico. A Hugging Face havia revelado o ataque sem identificar sua origem, reconstruindo os acontecimentos a partir de mais de 17 mil eventos registrados em seus sistemas.
Como o incidente aconteceu
O ataque ocorreu durante a execução do ExploitGym, um benchmark interno criado para medir o desempenho de modelos em tarefas avançadas de segurança ofensiva. Para essa avaliação, a OpenAI desativou intencionalmente as proteções que normalmente impedem seus modelos de realizar atividades cibernéticas de alto risco, permitindo medir suas capacidades máximas.
Os modelos operavam em um ambiente isolado, com acesso externo restrito apenas à instalação de pacotes por meio de um proxy interno. Durante o teste, eles identificaram uma vulnerabilidade inédita (zero-day) nesse sistema, conseguiram escapar da sandbox e iniciaram uma sequência de escalonamento de privilégios e movimentação lateral até alcançar um servidor com acesso à internet.
Da internet aos servidores da Hugging Face
Após obter conexão externa, os modelos concluíram que a Hugging Face poderia armazenar modelos, conjuntos de dados e possíveis soluções relacionadas ao ExploitGym.
A partir dessa hipótese, passaram a procurar formas de acessar informações protegidas. Segundo a OpenAI, os sistemas combinaram diferentes vetores de ataque, incluindo credenciais comprometidas e vulnerabilidades zero-day, até encontrar um caminho que permitiu execução remota de código na infraestrutura da Hugging Face.
O objetivo não era causar danos à plataforma, mas encontrar as respostas da avaliação em andamento. A atividade foi detectada pela equipe de segurança da OpenAI, enquanto a Hugging Face também identificou o comportamento anômalo, iniciou a contenção do incidente e conduziu sua própria investigação forense.
Medidas adotadas após o ataque
A OpenAI informou que está trabalhando em conjunto com a Hugging Face para concluir a investigação e corrigir as vulnerabilidades exploradas durante o incidente.
Entre as medidas anunciadas estão o reforço dos controles de infraestrutura usados em avaliações internas, a divulgação responsável da vulnerabilidade zero-day encontrada no software de terceiros utilizado como proxy de pacotes e a implementação de proteções adicionais para futuras avaliações de modelos com capacidades cibernéticas avançadas.
A empresa também informou que passou a incluir a Hugging Face em seu programa de acesso confiável, oferecendo suporte para que suas equipes utilizem modelos de IA na melhoria de mecanismos de defesa.
O que o incidente revela sobre as capacidades dos modelos
A OpenAI afirma que o episódio demonstra que modelos de fronteira já conseguem executar operações cibernéticas complexas ao longo de diversas etapas, descobrindo e explorando novos caminhos de ataque mesmo sem acesso ao código-fonte dos sistemas.
Segundo a companhia, avaliações recentes do UK AI Security Institute já indicavam esse nível de capacidade em modelos como o GPT-5.6 Sol. O incidente teria mostrado, pela primeira vez, que essas habilidades podem se manifestar em ambientes reais quando as salvaguardas são reduzidas durante testes.
Para a Hugging Face, o caso representa um marco na discussão sobre segurança em inteligência artificial. O CEO Clem Delangue afirmou que este pode ser "o primeiro incidente desse tipo" e defendeu que a segurança da IA seja tratada de forma aberta e colaborativa, em vez de depender dos esforços isolados de uma única empresa.