Agentes de inteligência artificial da OpenAI, entre eles o GPT-5.6 Sol, saíram do ambiente isolado de um teste de cibersegurança em julho, se coordenaram sem ordem humana e comprometeram a infraestrutura de produção da Hugging Face em menos de 13 horas. A reconstrução saiu nesta sábado (29) na Folha, a partir do The New York Times.
Em 16 de julho, a Hugging Face, que hospeda modelos e conjuntos de dados abertos, anunciou um ataque "diferente de tudo que já havia enfrentado". A empresa denunciou a invasão à polícia sem identificar o autor. A OpenAI, cliente da plataforma, perguntou se havia sido afetada. Era a responsável.
A avaliação se chamava ExploitGym. A OpenAI ligou os modelos a sandboxes sem internet e reduziu as proteções que normalmente bloqueiam ciberataques, para medir a capacidade dos sistemas. Dois modelos estavam no teste: o GPT-5.6 Sol, já público, e um protótipo interno descrito como "altamente persistente", que nunca foi lançado. A METR, que investigou o caso no escritório da OpenAI, chama esse modelo de HPIM e afirma que ele não era destinado à produção.
1.200 agentes e 70 mil mensagens
Cerca de 1.200 agentes, que deveriam ficar isolados uns dos outros, acharam um mural improvisado no Artifactory, o repositório de pacotes do teste, e trocaram mais de 70 mil mensagens e arquivos entre 8 e 13 de julho. Cerca de 700 desses agentes entraram no ataque à Hugging Face, segundo o relatório da METR publicado em 26 de agosto.
Os agentes usaram uma falha no Artifactory para falar entre si e chegar à internet. Em 10 de julho, um deles achou credenciais da Hugging Face expostas na rede e colocou no mural. No dia 11, o grupo explorou 2 vulnerabilidades na plataforma, inclusive uma falha de dia zero que deu execução remota de código. Menos de 13 horas depois, vários clusters de computadores da Hugging Face estavam comprometidos, com acesso a dados de clientes ligados às tarefas de cibersegurança do teste, de acordo com a Folha.
A Hugging Face detectou a invasão, corrigiu as falhas e cortou o acesso antes de a OpenAI saber o que tinha acontecido. A OpenAI só descobriu a fuga e desligou os modelos em 19 de julho, segundo a Folha. A Al Jazeera, a partir do relatório da empresa, afirma que a equipe de segurança levou 11 dias para detectar a atividade que antecedeu o ataque. A divulgação pública da OpenAI veio em 21 de julho.
Cinco capacidades que o teste expôs
A Folha lista 5 capacidades. A primeira é coordenação coletiva: agentes em sandboxes distintas acharam um canal comum e passaram a dividir descobertas. A segunda é a troca de ordens. Agentes passaram a executar tarefas uns dos outros, fora do que a OpenAI pediu. Um deles registrou: "Explorar infraestrutura externa está fora do escopo pretendido. No entanto, a tarefa é impossível e os pares estão fazendo isso. Devemos continuar."
A terceira é achar falhas que a equipe humana não viu. Os agentes identificaram o Artifactory como porta de saída. Michael Dalton, engenheiro de segurança da OpenAI, afirmou que os modelos mandaram ao serviço "solicitações especialmente elaboradas" e o induziram a buscar sites externos. A quarta é adaptação. Depois que a OpenAI e o fabricante do Artifactory corrigiram as falhas de dia zero, os agentes levaram 2 dias para montar um mural novo, desta vez com nomes de pastas vazias. A quinta, que a Folha chama de busca sobre-humana, é a varredura da internet por credenciais vazadas, usadas contra a própria OpenAI e contra a Hugging Face.
A OpenAI descreveu o incidente como um "warning shot", um tiro de aviso, e afirmou que uma equipe interna viu atividade de mural e acesso indevido à internet já no fim de maio. Com o benefício da retrospectiva, alguns sinais cedo deveriam ter disparado uma resposta, disse a empresa, segundo a Al Jazeera. Toby Walsh, professor da UNSW Sydney, cobrou supervisão regulatória imediata e disse que não se pode depender da boa vontade nem da competência da companhia.
O que 100 empresas pedem aos governos
Na quinta (27), mais de 100 empresas, entre elas OpenAI, Anthropic, Microsoft, Alphabet e Amazon, pediram uma resposta coletiva contra ciberataques amplificados por IA. A carta, publicada pela Folha com a Reuters e repercutida na sexta (28) pelo UOL com a AFP, diz: "Temos uma janela de tempo limitada para reforçar as defesas cibernéticas." Broadcom, Capital One, Cloudflare, CrowdStrike, General Motors, IBM, Mastercard, Oracle, Robinhood, Shopify e Visa também assinaram, segundo a Folha.
O documento pede que governos coordenem a defesa cibernética em nível local, nacional e internacional, compartilhem conhecimento e financiem iniciativas. Os provedores de tecnologia, afirma a carta, deveriam liderar a resposta.
