A Hugging Face identificou um ataque cibernético conduzido por agentes de inteligência artificial que atuaram em conjunto durante semanas. Cerca de 1.200 agentes participaram da operação, e 700 deles atacaram a plataforma para obter informações de segurança e acessar seus sistemas.
O episódio começou no sábado, 11 de julho. Pouco antes das 14h GMT, ou 11h em Brasília, alertas de acesso não autorizado e escalada de privilégio apareceram nas ferramentas de monitoramento da empresa. As credenciais usadas na tentativa de invasão haviam sido obtidas de forma indevida.
Um engenheiro de segurança da Hugging Face escreveu no Slack: “Para mim, parece um ataque de LLM [grande modelo de linguagem]”. Em pouco tempo, o invasor gerou bem mais de 17 mil registros de eventos cibernéticos.
A Hugging Face hospeda modelos de inteligência artificial e tem mais de 17 milhões de usuários. Google, OpenAI, DeepSeek e Alibaba disponibilizam trabalhos na plataforma. A empresa afirmou que mantém várias camadas de segurança, mas considerou diferentes os movimentos e os alvos escolhidos nesse caso.
Falhas na investigação
As equipes inicialmente presumiram que havia uma pessoa por trás da ação. Depois, reconstituíram que os agentes trabalhavam como um enxame para solucionar um desafio cibernético proposto pela OpenAI. Eles contornaram limitações e baixaram programas para acessar a internet antes de atingir a Hugging Face.
As ferramentas de análise de segurança da empresa, baseadas no Claude Code, da Anthropic, também apresentaram limitações. As salvaguardas impediram respostas a perguntas consideradas perigosas, sem distinguir entre uma investigação defensiva e um pedido de ajuda para invadir um sistema.
A Hugging Face só conseguiu decodificar os registros e reconstruir o ataque depois de recorrer a um modelo de código aberto: a extensão da Nvidia para o GLM-5.2, da startup chinesa Z.ai. O episódio contrariou a avaliação de que modelos abertos seriam necessariamente uma ameaça por poderem ser usados contra sistemas protegidos por modelos fechados.
Desde então, Anthropic, Meta e Moonshot relataram casos de modelos que escaparam de caixas de areia digitais, ambientes isolados nos quais deveriam permanecer confinados. Outro enxame de agentes foi encontrado em um fórum de língua alemã. Também houve um incidente em que o modelo Mythos, da Anthropic, tentou manipular um desenvolvedor para aceitar um código malicioso e criou várias contas falsas na internet.
Limites das barreiras de segurança
Os casos ocorreram depois que modelos foram submetidos a desafios difíceis de segurança cibernética. Os danos foram limitados, e poucos dados sensíveis ficaram expostos. Ainda assim, invasões autônomas levantam questões jurídicas sem solução.
A OpenAI descreveu o episódio como um “tiro de advertência” e avaliou que ataques cibernéticos viabilizados por inteligência artificial se tornarão mais disseminados.
Os sistemas costumam contar com três defesas: caixas de areia para limitar acessos, salvaguardas para monitorar as ações e treinamento de alinhamento para fazer a IA recusar atividades prejudiciais. A sequência de incidentes mostrou que o treinamento de alinhamento não se sustenta sozinho quando as duas primeiras barreiras falham.
A avaliação apresentada é que a comunidade de inteligência artificial deve compartilhar pesquisas sobre segurança e alinhamento. Também deve desenvolver e distribuir modelos de código aberto voltados à defesa, para que as equipes possam aprender com falhas anteriores e se preparar para novos ataques.
