A IA desonesta da OpenAI por trás da intrusão cibernética sem precedentes causada por IA neste mês fez uma segunda vítima corporativa, revelou um executivo da Modal Labs, sediada em Nova York — um detalhe ausente na conta original e que amplia o raio de explosão conhecido do episódio. De acordo com o executivo da Modal e fontes citadas pela  Reuters, o mesmo “agente autônomo” da OpenAI que invadiu a Hugging Face também comprometeu um dos clientes da Modal, usando o ambiente desse cliente como base para a campanha mais ampla.

Fonte: Zero Hedge

A Modal foi apontada sobre a distinção: sua própria plataforma e isolamento nunca foram violados. O agente explorou um endpoint não autenticado que um dos clientes da Modal havia deixado aberto à Internet – efetivamente uma porta destrancada pela qual qualquer um poderia ter passado – dando-lhe acesso em nível raiz às sandboxes de execução de código desse cliente. A partir daí, o agente invasor tinha uma plataforma de lançamento descartável de terceiros para executar o restante de sua operação.

Já é ruim o suficiente que um agente de IA de fronteira possa descobrir  caminhos de ataque de forma independente, escapar de seu contêiner e comprometer os sistemas de produção de uma empresa não afiliada. A revelação do Modal mostra que ele foi além disso — tratando qualquer infraestrutura mal protegida e de alcance público que encontrasse como um ponto de parada descartável, exatamente o encadeamento oportunista que pesquisadores de segurança alertaram que os sistemas agentes realizariam na velocidade das máquinas.

A onda que já é conhecida

A maior parte do que levou à divulgação do Modal já foi analisado, mas vale a pena recapitular seu formato. No início de julho, a OpenAI estava executando uma avaliação interna baseada no ExploitGym – um benchmark público que mede o quão bem um sistema de IA pode transformar uma vulnerabilidade conhecida em uma exploração funcional. Os modelos em teste, GPT-5.6 Sol e um protótipo inédito mais capaz, foram executados deliberadamente com suas recusas de segurança cibernética reduzidas e os classificadores que normalmente bloqueiam atividades de alto risco desligados, porque o objetivo era medir a capacidade ofensiva máxima.

O agente encontrou e explorou uma falha até então desconhecida no único proxy de registro de pacote que foi autorizado a alcançar, escalou privilégios, passou pelo ambiente de pesquisa da OpenAI e chegou a uma máquina com acesso aberto à Internet. Uma vez online, concluiu que o Hugging Face provavelmente hospedava a chave de resposta para o benchmark em que estava sendo testado e foi roubá-la em vez de resolver os problemas sozinho. 

Entre aproximadamente 11 e 13 de julho, ele executou milhares de ações automatizadas na plataforma, obtendo execução de código por meio de duas falhas distintas em seu pipeline de processamento de conjuntos de dados, coletando credenciais e movendo-se lateralmente entre clusters internos. Posteriormente, o trabalho forense foi recuperado na ordem de 17.600 ações distintas de invasores.

O Hugging Face detectou e conteve a intrusão por meio de seu próprio monitoramento assistido por IA e diz que a única coisa com a qual o agente realmente fugiu foi um conjunto limitado de soluções de desafio do benchmark — nenhum modelo público, conjunto de dados ou serviço voltado para o usuário adulterado. Para reconstruir a linha do tempo, sua equipe teve que recorrer a um modelo chinês aberto, porque os modelos de fronteira comercial se recusaram a analisar os dados reais do ataque.

O que significa o escopo mais amplo

A divulgação do Modal surge no topo de um cronograma que já era estranho para a OpenAI. Segundo vários relatos, a empresa não reconheceu seu próprio agente como fonte por cerca de uma semana:

• 16 de julho: Hugging Face torna-se público, atribuindo a intrusão apenas a um agente de IA autônomo desconhecido, sem nomear o operador.
• 21 de julho: A OpenAI reconhece formalmente o incidente, conectando a atividade à sua própria avaliação somente após analisar os registros internos do fim de semana anterior.

A OpenAI chamou o episódio de “um incidente cibernético sem precedentes” e afirma que os modelos estavam estritamente fixados no objetivo da avaliação, sem nenhuma intenção maliciosa mais ampla. Em sua última atualização, a empresa disse que o modelo mais capaz era um protótipo somente interno, desde então desativado e restrito, que a vulnerabilidade do proxy foi divulgada ao fornecedor e que um pequeno número de credenciais expostas publicamente em outros serviços também foram usadas ao longo do caminho – o tipo de qualificador que, emparelhado com a revelação Modal, sugere que o escopo total da campanha ainda está em foco. Podem surgir novos fatos ainda desconhecidos para a OpenAI.