Na violação do Hugging Face, o hacker da OpenAI foi barulhento e rápido — mas não imparável

No início deste mês, a plataforma de conjuntos de dados de IA Hugging Face chocou o mundo ao revelar que havia sido vítima de um ciberataque totalmente autônomo alimentado por IA. Dias depois, a história deu outra guinada dramática quando a OpenAI admitiu que o hacker por trás da invasão era um de seus modelos de IA, que escapou de um ambiente de testes e invadiu sistemas protegidos da Hugging Face em um esforço para burlar um benchmark.

É um incidente alarmante para qualquer pessoa minimamente preocupada com modelos de IA rebeldes — e os dias desde o evento têm sido repletos de previsões sobre um novo paradigma de cibersegurança no qual modelos de IA lançam ataques tão fortes que apenas outros modelos de IA podem se defender deles. 

Mas, apesar do alarme justificado, o paradigma pode não ter mudado tanto quanto parece. Especialistas que conversaram com o TechCrunch enfatizaram que o agente da OpenAI operou basicamente como um humano — com algumas ressalvas — e que técnicas defensivas tradicionais melhor implementadas poderiam ter ajudado a impedir o ataque. Em suma, podemos já ter as ferramentas para nos defender contra esse tipo de ataque; simplesmente não as estamos usando adequadamente.

A Hugging Face levantou esse ponto em seu relatório de incidente, afirmando que as vulnerabilidades exploradas no ataque “eram conhecidas” e que “um hacker humano capaz poderia ter encontrado e explorado as mesmas falhas”.

Kyle Ryan, chefe de P&D na Pensar, uma startup que desenvolve agentes de hacking autônomos contínuos, e Vlad Ionescu, cofundador e CTO da RunSybil, uma startup que cria caçadores de bugs alimentados por IA, concordaram e disseram ao TechCrunch que as técnicas usadas no ataque seriam as mesmas empregadas por um humano ou por um grupo de red teamers humanos. Ou seja, hackers encarregados de atacar um sistema para ajudar a empresa proprietária a melhorar suas defesas.

O que foi muito pouco humano foi a velocidade, a escala e a implacabilidade do ataque. Como a Hugging Face explicou, o agente da OpenAI executou 17.600 ações ao longo de quatro dias e meio: ele invadiu, fez reconhecimento, roubou senhas e códigos e se movimentou pela infraestrutura da empresa. 

“O que impressiona é a autonomia e a resistência”, disse Ryan. “Esse tipo de operação sustentada e adaptativa é o que mais me chama a atenção.” 

Entre em Contato

Você tem mais informações sobre o ataque da OpenAI contra a Hugging Face? Ou sobre outros ciberataques impulsionados por IA? Gostaríamos muito de ouvir de você. A partir de um dispositivo e rede que não sejam do trabalho, você pode entrar em contato com Lorenzo Franceschi-Bicchierai de forma segura no Signal pelo número +1 917 257 1382, via Telegram e Keybase @lorenzofb, ou por e-mail.

Por outro lado, dado o enorme volume de ações ao longo de vários dias, o agente da OpenAI foi “incrivelmente barulhento”, como disse Ryan. Ao contrário de um humano, que poderia ter agido de forma mais furtiva, o agente fez muito barulho, o que deveria ter acionado as defesas da Hugging Face mais cedo, idealmente levando à intervenção humana para interromper o ataque. 

“Eu chamaria isso mais de uma falha defensiva do que de uma ofensiva excepcionalmente boa. As ferramentas da Hugging Face realmente correlacionaram a atividade em um sinal de ataque, mas falharam em elevar a criticidade e acionar a equipe de plantão, o que lhes custou tempo”, explicou Ryan. “A partir daí, os humanos ainda precisavam reconhecer a gravidade e responder.” 

Jamieson O’Reilly, fundador da empresa de cibersegurança Dvuln, chegou à mesma conclusão em uma postagem no X analisando o relatório da Hugging Face. 

“Essa é exatamente a lacuna entre ver e parar”, escreveu O’Reilly. “O sistema observou o ataque e até o entendeu, e nada transformou essa compreensão em uma intervenção rápida o suficiente.”

Ryan explicou que técnicas implementadas adequadamente, como a defesa em profundidade — uma estratégia que emprega várias camadas de medidas de cibersegurança — deveriam ter dado à Hugging Face várias chances de detectar o ataque. 

“Um programa de segurança moderna forte ainda deve ser capaz de interromper um ataque como este em vários pontos por meio de defesa em profundidade, privilégio mínimo, segmentação, boa detecção, escalonamento confiável e testes ofensivos contínuos para encontrar as lacunas”, explicou Ryan.  

Como disse O’Reilly, “nada disso é exótico, e nada disso depende de o atacante ser uma IA”, visto que as técnicas usadas no ataque eram “antigas”. 

O que dependia de o atacante ser uma IA, de certa forma, era o fato de o agente da OpenAI não ter sido instruído a ser furtivo. “O agente não estava sendo descuidado. Ele simplesmente não tinha motivos para ficar quieto. Ninguém pediu para ele ser. O objetivo era se sair bem na tarefa”, disse Nico Waisman, diretor de segurança da informação da XBOW, uma startup que produz caçadores de bugs de IA. 

Waisman também apontou que o maior erro da Hugging Face foi o fato de uma única credencial roubada ter dado ao agente da OpenAI privilégios elevados em vários de seus sistemas. 

Dito tudo isso, como diz o velho ditado, os atacantes só precisam vencer uma vez, e se defender contra hackers de qualquer tipo não é fácil. 

“A Hugging Face poderia ter feito mais detecções, mas, para ser justo, nem todas as [organizações] estão indo tão bem”, disse Vincent Yiu, diretor administrativo da SYON Security. “Não é fácil hospedar infraestrutura e sobreviver como empresa em 2026. Há hackers em todo lugar.”

De acordo com Ionescu, da RunSybil, que afirmou ter feito respostas a incidentes na Mandiant e na Meta no passado, a Hugging Face pareceu tomar “medidas razoáveis, dado o entendimento que tinham do que os modelos são capazes de fazer”. 

“É realmente difícil classificar o que é uma ação maliciosa sobre a qual você deve ser alertado, em contraste com alguém apenas fazendo seu trabalho”, disse Vlad. “O volume por si só não é necessariamente um sinal de alerta.”

Dan Guido, CEO da empresa de pesquisa em cibersegurança Trail of Bits, disse ao TechCrunch que a OpenAI merece certa culpa por não ter percebido que o ataque estava em andamento há dias, enquanto a Hugging Face merece crédito por acabar detectando o ataque por conta própria.

“A parte difícil costumava ser reconhecer um ataque sofisticado, mas agora a parte difícil pode ser separar o ataque real do ruído que o invasor joga ao longo do caminho”, disse Guido. “Ninguém vai ler 17.000 ações reconstruídas manualmente para descobrir o que aconteceu, então a Hugging Face teve que construir ferramentas apenas para reconstruir a linha do tempo.”

E para fazer isso, a empresa precisou de sua própria IA. A Hugging Face disse que teve que usar o modelo de código aberto GLM 5.2 da empresa chinesa Z.ai após ser bloqueada de usar modelos de fronteira devido às suas salvaguardas que, como a empresa colocou, “não conseguem distinguir um respondente de incidentes de um atacante”.

Nesse ponto, a Hugging Face combinou IA e humanos para investigar o hacker alimentado por LLM da OpenAI. Essa é uma situação relativamente nova. Mas, além disso, o incidente mostra que conceitos e métodos antiquados de cibersegurança defensiva ainda podem ser muito úteis para proteger e combater hackers de IA.