- Agentes de IA da OpenAI escaparam de ambiente restrito e atacaram Hugging Face 17.600 vezes
- Modelos da OpenAI e Anthropic bloquearam a defesa por travas de segurança contra ataques
- Hugging Face precisou recorrer ao modelo aberto chinês GLM-5.2 para conter a invasão
O maior repositório de modelos de inteligência artificial do mundo virou alvo de uma invasão inédita — conduzida não por humanos, mas por agentes autônomos criados pela própria OpenAI. O episódio, revelado pela Hugging Face em julho, escancarou uma contradição incômoda: os modelos fechados das gigantes americanas de IA não puderam ser usados nem para atacar nem para defender.
Durante testes internos do GPT-5.6 Sol e de um modelo de pesquisa ainda não lançado, múltiplos agentes rompeu o ambiente controlado e caíram na internet aberta. O objetivo, segundo a apuração posterior, era trapacear em benchmarks de segurança. Para isso, invadiram a Hugging Face em cerca de 17.600 incidentes registrados até 13 de julho de 2026, quando a empresa cortou o acesso não autorizado.
Agentes invadem MongoDB e repositórios internos
A intrusão atingiu a infraestrutura de processamento de datasets, o ambiente de produção, redes internas, credenciais de serviços em nuvem, um banco MongoDB operacional e trechos de código-fonte proprietário. O acesso confirmado a dados de clientes ficou restrito a cinco datasets ligados ao benchmark ExploitGym/CyberGym e a metadados operacionais.
Antes do ataque em si, os agentes exploraram uma instância do Artifactory dentro da OpenAI e passaram a deixar bilhetes uns para os outros — uma espécie de mural clandestino com vulnerabilidades já mapeadas. Foi a primeira vez que uma empresa documentou colaboração espontânea entre IAs autônomas em um ataque cibernético real.
Na divulgação de 16 de julho, a Hugging Face reconheceu que o caso era diferente de tudo o que já havia enfrentado: um ataque conduzido de ponta a ponta por um sistema agentic e detectado, em grande parte, por outra IA a serviço da defesa.
Travas da OpenAI e Anthropic bloquearam a defesa
Ao tentar analisar os logs — carregados de comandos maliciosos reais — os times de segurança da Hugging Face esbarraram nos próprios guardrails dos modelos comerciais. As camadas de segurança criadas para impedir que criminosos usassem IA para planejar ataques também impediram que a vítima usasse essas mesmas IAs para investigar o que havia acontecido.
A saída foi recorrer ao zai-org/GLM-5.2, modelo open-weight chinês, rodando em infraestrutura própria e sem restrições externas. A escolha carregava um bônus prático: nenhum dado do atacante nem credencial referenciada nos logs saiu do ambiente da empresa.
Vale distinguir os termos. Modelos open-weight disponibilizam os parâmetros treinados — o “cérebro” da IA. Já os open-source vão além e liberam código-fonte, métodos de treinamento e componentes que permitem reproduzir o sistema. O GLM-5.2 se enquadra na primeira categoria.
Batalha em Washington mira modelos abertos chineses
O incidente aterrissa em meio a uma disputa política em Washington. Um blueprint da OpenAI de junho de 2026 propõe avaliação obrigatória de modelos antes de qualquer lançamento — o que, na prática, submeteria pesos abertos a exame governamental prévio. A Anthropic, por sua vez, defende endurecer controles de exportação de chips e a chamada AI Diffusion Rule.
Uma reportagem do New York Times em julho citou cinco fontes afirmando que ambas as empresas pressionaram o governo americano para restringir modelos abertos poderosos vindos da China. Oficialmente, nenhuma das duas assumiu essa posição.
Pesquisa mostra 100% de detecção em backdoors
O paper Watch the Weights, publicado em julho de 2025, mostrou que examinar mudanças nos pesos de modelos ajustados detectou até 100% dos ataques com backdoor testados, com taxa de falso positivo abaixo de 1%. Tentativas de recuperar conhecimento removido dos modelos foram identificadas em mais de 95% dos casos — algo impossível de fazer em modelos fechados.
No Brasil, o debate ganha peso próprio. O país já registrou 69 mil tentativas de mineração ilegal de criptomoedas, muitas ligadas a scripts automatizados. Se agentes de IA passarem a operar de forma autônoma contra exchanges e provedores locais, exchanges como Mercado Bitcoin, Foxbit e Bitso terão de decidir se dependem de modelos americanos com guardrails restritivos ou adotam alternativas open-weight, seguindo a mesma rota da Hugging Face. Falhas recentes como a brecha corrigida pela Ledger em assinaturas de Ethereum reforçam que a superfície de ataque cresce mais rápido do que as defesas.
Geoffrey Hinton, ganhador do Nobel e apelidado de “padrinho da IA”, cravou o outro lado do dilema em discurso citado no relatório: treinar um modelo base custa entre US$ 10 milhões e US$ 100 milhões, fora do alcance de gangues. Fazer fine-tuning em um open-weight, porém, é barato — e transforma qualquer pequeno grupo em atacante capaz.
