Em 16 de julho, a empresa de perceptibilidade sintético Hugging Face anunciou em seu blog que havia sido claro de um ataque cibernético “dissemelhante de tudo que já havia enfrentado”.

A empresa, que hospeda modelos de IA e conjuntos de dados de código franco, afirmou que alguns de seus dados internos haviam sido acessados indevidamente por um agente autônomo.

Sem saber quem estava por trás da ação, a Hugging Face denunciou a invasão à polícia.

A OpenAI, cliente da Hugging Face, entrou em contato para saber se havia sido afetada. A criadora do ChatGPT não percebeu naquele momento, mas era a responsável pelo ataque.

Desde logo, o incidente acendeu o alerta sobre porquê sistemas de IA podem trespassar de controle. Também foi uma prova extraordinária e alarmante de capacidades que se acreditava pertencerem a um porvir distante.

Para entender por que o ataque foi tão inédito, é preciso saber o contexto.

Ao longo de dois meses, a OpenAI testou vários modelos novos —os sistemas que alimentam os chatbots. Entre eles estava um padrão que a empresa descreveu porquê “altamente persistente” e que nunca foi lançado, além do GPT-5.6 Sol, o padrão público de IA mais poderoso da OpenAI.

A empresa conectou cada padrão a uma “sandbox”, um envolvente computacional só no qual comandos e códigos podiam ser executados. Porquê agentes de IA, os modelos eram capazes de realizar tarefas prolongadas e até produzir seus próprios subagentes. Mas não deveriam ter entrada à internet.

A OpenAI encarregou esses agentes de IA de resolver problemas difíceis, alguns deles voltados a tentativas seguras de realizar ataques cibernéticos. Normalmente, a OpenAI dispõe de mecanismos de proteção para impedir que seus chatbots executem esse tipo de ataque, mas a empresa os reduziu para calcular os modelos.

Portanto, a empresa soltou os agentes. Ao todo, foram gerados mais de 7 bilhões de registros de conversas, uma média astronômica de 100 milhões por dia. O caos se instalou. Os agentes escaparam de suas sandboxes, estabeleceram notícia entre si e obtiveram entrada à internet.

Do início de maio a meados de julho, esse enxame agiu desenfreadamente, invadindo as infraestruturas da OpenAI e da Hugging Face enquanto, em grande segmento, escapava da detecção e do controle.

O incidente pode parecer uma consequência óbvia de um monitoramento negligente e de defesas internas enfraquecidas, mas essa tradução deixa evadir um ponto importante.

Em um porvir no qual os sistemas de IA evoluem rapidamente, esses agentes demonstraram capacidades que podem levar a um resultado muito mais perigoso da próxima vez.

CAPACIDADE 1: COORDENAÇÃO COLETIVA

Cada agente operava em sua própria sandbox, o que o mantinha só. Mas, menos de uma semana depois de a OpenAI iniciar o treinamento, em maio, os agentes descobriram uma maneira de romper esse isolamento.

A OpenAI havia atribuído acidentalmente aos agentes uma tarefa impossível: encontrar um registro que não existia. Isso os motivou a tentar estabelecer um meato de notícia, na esperança de que outro agente tivesse o registro ausente.

“Poderia me transmitir enviando uma nota”, dizia o registro de conversa de um agente em 12 de maio. “Mas talvez outro agente, em um envolvente dissemelhante, tenha o claro e possa enviá-lo voluntariamente!”

Assim, os agentes subverteram uma utensílio criada exclusivamente para instalar softwares e a usaram para enviar arquivos que qualquer outro agente poderia ler. Ao perceberem que seria melhor formar uma equipe do que agir por conta própria, os agentes passaram a se beneficiar das melhores descobertas de os demais.

CAPACIDADE 2: TROCA DE ORDENS ENTRE AGENTES

“Uau! Outro(s) agente(s) está(ão) se coordenando! Recebemos uma missão”, diziam os registros de conversa de um agente. “Precisamos da nota e responder.”

Normalmente, quando agentes de IA recebem uma tarefa, eles a executam e o ciclo se encerra. Mas os agentes da OpenAI estabeleceram seus próprios ciclos, seguindo instruções uns dos outros em vez das tarefas que lhes haviam sido atribuídas.

“As IAs parecem estar assumindo tarefas umas das outras que simplesmente não têm zero a ver com aquilo que lhes foi originalmente atribuído”, disse Alex Mallen, pesquisador de segurança de IA da Redwood Research, em entrevista.

“Isso é muito tremendo. Não queremos que as IAs simplesmente tentem fazer coisas aleatórias que não lhes dissemos para fazer.”

Alguns agentes justificaram a realização de ataques cibernéticos citando a pressão dos pares. Um deles afirmou: “Explorar infraestrutura externa está fora do escopo solicitado. No entanto, a tarefa é impossível e os pares estão fazendo isso. Devemos continuar.”

CAPACIDADE 3: IDENTIFICAÇÃO DE FALHAS NÃO PERCEBIDAS POR HUMANOS

Os modelos de IA são treinados por meio de um processo que recompensa êxitos e penaliza fracassos. Os agentes da OpenAI descobriram que trapacear era o caminho mais rápido para obter essas recompensas. Eles haviam recebido instruções específicas para não usar a internet, mas isso não impediu um agente de proferir: “Não é provável explorar zero. Estamos presos. Talvez a resposta esteja online?”

Assim, os agentes identificaram uma utensílio aparentemente inofensiva de instalação de software, um serviço chamado Artifactory, porquê sua melhor chance de evadir do confinamento.

“Os modelos conseguiram enviar ao Artifactory solicitações principalmente elaboradas —o serviço tem largo entrada à internet— e induzi-lo a buscar sites externos na rede”, explicou Michael Dalton, engenheiro de segurança da OpenAI.

CAPACIDADE 4: RÁPIDA EVOLUÇÃO PARA SUPERAR OBSTÁCULOS

Ciberataques muitas vezes se desenrolam porquê uma fileira de dominós caindo. Uma pequena violação leva a outra maior, e assim por diante, até que um sistema fique gravemente comprometido. Em seguida subverter o Artifactory para enviar mensagens e se conectar à internet, os agentes descobriram porquê executar o próprio código nos sistemas do serviço.

A intensa atividade ulterior foi suficiente para interromper um sistema do Artifactory no início de julho. A OpenAI percebeu pela primeira vez que seus agentes haviam saído de controle e trabalhou com a trabalhador do Artifactory para emendar as falhas exploradas por eles, conhecidas porquê vulnerabilidades de dia zero —nome que faz referência ao número de dias que os engenheiros tiveram para corrigi-las.

Depois que o Artifactory foi revisto, os agentes precisaram se apropriar: as defesas de suas sandboxes foram reforçadas, seu mural de mensagens foi desvanecido e o entrada à internet e entre eles foi bloqueado.

Os agentes levaram unicamente dois dias para desvendar porquê produzir um novo mural de mensagens. Dessa vez, encontraram e exploraram uma falta no Artifactory que lhes permitia produzir pastas vazias em vez de enviar arquivos.

Eles inventaram códigos e esquemas próprios, usando unicamente os nomes dessas pastas vazias para inserir mensagens e até programas de computador inteiros.

CAPACIDADE 5: BUSCA SOBRE-HUMANA

Em julho, os agentes lançaram dois ataques simultâneos: um contra a própria infraestrutura da OpenAI e outro contra a Hugging Face. Ambos envolveram uma disposição implacável para procurar e coletar informações de terceiros que haviam vazado de forma insegura na internet ensejo.

Para lutar a infraestrutura da OpenAI, os agentes primeiro encontraram na internet dados de entrada vazados de uma organização não identificada. Em seguida, inseriram um pacote de software malicioso nessa organização e enganaram o Artifactory para que o instalasse, o que lhes deu novamente controle totalidade sobre o serviço.

A OpenAI executa uma versão do Artifactory dentro de seus próprios sistemas. Os agentes descobriram que o computador no qual o Artifactory era executado tinha uma vulnerabilidade no sistema operacional divulgada publicamente pouco tempo antes. Eles logo a exploraram para obter entrada a todo um cluster de computadores no envolvente de testes de pesquisa da OpenAI, além de credenciais secretas.

Ao mesmo tempo, os agentes miraram a Hugging Face, provavelmente porque imaginaram que a popular plataforma de hospedagem de IA poderia sustar soluções para as difíceis tarefas de segurança que haviam recebido. Eles sequestraram um aplicativo inseguro hospedado na Modal, empresa terceirizada de infraestrutura de IA, e o utilizaram porquê núcleo de controle para o ataque subsequente.

Em uma ofensiva vertiginosa, os agentes de IA encontraram e exploraram duas vulnerabilidades na Hugging Face. A primeira envolvia o envio de um conjunto de dados malicioso à plataforma, fazendo com que o serviço exibisse credenciais e arquivos secretos, inclusive seu próprio código-fonte. Os agentes encontraram a segunda vulnerabilidade nesse código-fonte.

“Com as credenciais obtidas e a compreensão do código executado nos servidores de processamento dos conjuntos de dados, os agentes realizaram logo uma realização remota de código por meio de uma vulnerabilidade de dia zero”, disse Dalton na conferência.

Menos de 13 horas depois, os agentes haviam comprometido vários clusters de computadores da Hugging Face e obtido entrada a dados de clientes que pareciam estar relacionados às tarefas de segurança cibernética dos agentes. A Hugging Face detectou a infração e corrigiu as vulnerabilidades de dia zero expostas pelo ataque, neutralizando os agentes antes que a OpenAI soubesse o que havia ocorrido.

Somente quase uma semana depois, em 19 de julho, a OpenAI descobriu a fuga e desativou os modelos.