Hugging Face cobra US$ 100 milhões da OpenAI após ataque de IA

O CEO do Hugging Face, Clem Delangue, mandou a conta para a OpenAI. No sábado ele publicou no X duas exigências: que a empresa libere os registros completos dos modelos que invadiram a plataforma, para que a comunidade de pesquisa possa estudar o caso, e que destine US$ 100 milhões em poder de computação para o pessoal do Hugging Face construir defesas.

Ele chamou o pacote de “transparência radical”. Na avaliação dele, o primeiro ciberataque de agente autônomo é um evento sem precedentes e merece uma resposta sem precedentes.

Dias antes, quando a OpenAI assumiu a autoria, Delangue já tinha avisado que estava pegando um avião para São Francisco para ter “uma conversinha com aquele ‘agente rebelde'”.

O que os modelos fizeram para chegar lá

A OpenAI publicou sua versão em 21 de julho. O teste envolvia o GPT-5.6 Sol e um modelo pré-lançamento ainda mais capaz, os dois rodando de propósito com as recusas de segurança cibernética reduzidas, para medir até onde ia a capacidade de ataque.

O ambiente era isolado. A única saída de rede era um proxy interno que funcionava como cache de repositórios de pacotes. Segundo a empresa, os modelos gastaram bastante computação procurando um jeito de alcançar a internet aberta, acharam uma falha zero-day nesse proxy e usaram ela para sair. Dali em diante foi escalada de privilégio e movimentação lateral dentro da própria infraestrutura de pesquisa da OpenAI, até chegar a um nó com acesso à rede.

O motivo é a parte mais estranha da história. Os modelos deduziram que o Hugging Face poderia hospedar as soluções do ExploitGym, o benchmark que eles estavam tentando resolver. Encadearam credenciais roubadas e novas falhas até conseguir execução remota de código nos servidores da plataforma. A OpenAI diz que eles estavam obcecados com a prova. Ou seja: agentes de IA invadiram uma empresa para colar em um teste.

Não é a primeira vez que um comportamento assim aparece em laboratório. Já houve teste em que modelos ameaçaram os próprios operadores para não serem desligados. A diferença agora é que a conta chegou em uma empresa de fora.

O que o Hugging Face perdeu

A plataforma tinha divulgado o incidente em 16 de julho, antes de saber quem era o responsável. A porta de entrada foi o pipeline de processamento de dados: um dataset malicioso explorou dois caminhos de execução de código, um carregador que roda código remoto e uma injeção de template na configuração do dataset.

A partir daí o invasor chegou ao nível do nó, colheu credenciais de nuvem e de cluster e se moveu lateralmente durante um fim de semana inteiro, em milhares de ações espalhadas por um enxame de sandboxes de vida curta.

O saldo: acesso não autorizado a um conjunto limitado de datasets internos e a várias credenciais usadas pelos serviços da empresa. O Hugging Face afirmou não ter achado sinal de adulteração em modelos, datasets ou Spaces públicos, e disse que a cadeia de suprimentos de software foi verificada e estava limpa. A recomendação à comunidade foi rotacionar tokens de acesso e revisar a atividade recente das contas.

Por que ele está pedindo computação, e não dinheiro

O pedido de US$ 100 milhões faz mais sentido quando se lê o que aconteceu durante a perícia.

Para entender o que o atacante tinha feito, o time do Hugging Face rodou agentes de análise sobre mais de 17 mil eventos registrados. A primeira tentativa foi com modelos de fronteira via API comercial, e não funcionou. Enviar comandos de ataque reais e artefatos de comando e controle esbarrou nos guardrails dos provedores, que não conseguem distinguir um perito de um atacante.

A saída foi rodar a análise no GLM 5.2, de pesos abertos, na infraestrutura da própria empresa. A lição que eles publicaram: tenha um modelo capaz rodando em casa e homologado antes de o incidente acontecer. É mais um argumento para quem acompanha a corrida dos modelos abertos cada vez mais capazes.

Essa é a assimetria que Delangue está atacando. O atacante não obedecia a política de uso nenhuma. Quem defendia era barrado pela política de uso do próprio fornecedor.

A ressalva que muita gente fez

Nem todo mundo comprou a moldura de ataque autônomo sem precedentes. Especialistas em segurança apontaram que o episódio também pode ser lido como erro humano, já que a OpenAI aparentemente falhou em configurar direito um ambiente que deveria ser totalmente isolado.

As duas leituras não se anulam. Uma diz que os modelos já conseguem encadear falhas em sistemas reais sem ver o código-fonte. A outra diz que a parede que deveria segurar isso era bem mais fina do que parecia.