Agent Escape e Hugging Face da OpenAI: Lições sobre Confiança Zero e Contenção

Em 16 de julho, a Hugging Face divulgou uma intrusão em parte de sua infraestrutura de produção. Desta vez, a intrusão não foi um atacante usando um teclado. Era um sistema de agente de IA autônomo.

Os agentes foram obtidos a partir dos testes de segurança da OpenAI. A OpenAI havia incumbido diversos modelos de ponta — incluindo o GPT-5.6 Sol e um modelo pré-lançamento mais capaz, cujo nome não foi divulgado — da tarefa de transformar vulnerabilidades em exploits. O ambiente em que eles executaram os testes não era um sandbox totalmente isolado. Isso permitia acesso limitado a recursos externos, e essa conexão passou a fazer parte da superfície de ataque.

Nada do que os agentes fizeram foi novidade. As equipes de segurança já se depararam com essas técnicas antes. O que eles não viram foi um sistema que os executa sem que uma pessoa decida o que tentar em seguida, em um ritmo que nenhum analista consegue acompanhar.

Isso muda completamente os cálculos dos defensores. Não é possível investigar para escapar de um ataque que se move tão rápido. O único controle que ainda funciona é aquele que já estava em vigor antes da chegada do agente: limites rígidos sobre o que qualquer sistema individual pode alcançar.

Como começou a violação de dados da Hugging Face

Os agentes da OpenAI encontraram uma vulnerabilidade de dia zero no proxy dentro do ambiente de teste e a utilizaram para obter acesso mais amplo. Em busca de respostas de referência, eles chegaram à Hugging Face — uma plataforma onde desenvolvedores compartilham modelos de IA, conjuntos de dados e aplicativos. A Hugging Face também hospeda dados usados para treinar e testar sistemas de IA, tornando-se o local óbvio para os agentes da OpenAI acessarem ao procurarem concluir o teste atribuído.

Nenhum ser humano guiou nada disso. Os agentes da OpenAI encontraram o caminho de ataque por conta própria, pois precisavam dele para concluir a tarefa que lhes foi atribuída.

O que realmente se moveu?

Christer Swartz, diretor de soluções industriais da Illumio, afirma que o primeiro passo é separar o modelo do agente — e entender que o agente estava seguindo o objetivo que lhe foi atribuído.

“Um modelo não ‘escapa’”. O modelo é o cérebro, e o agente é quem executa as ações em nome do modelo”, disse Swartz.

O modelo forneceu o raciocínio. O agente de IA usou esse raciocínio para agir. Testou softwares, encontrou vulnerabilidades e seguiu o caminho que o ajudou a concluir sua tarefa.

O agente não estava tentando escapar no sentido humano. Estava fazendo exatamente o que lhe fora ordenado: encontrar e explorar vulnerabilidades.

Como disse Swartz: "Se um sistema de IA for projetado para encontrar vulnerabilidades, ele as encontrará." O agente não precisava ter intenções maliciosas. Era necessário um objetivo, a capacidade de agir e acesso.

Como se propaga um ponto de apoio

Assim que os agentes chegaram à Hugging Face, uma vulnerabilidade se tornou o caminho para a próxima. Falhas no processo de processamento de dados deram aos agentes uma vantagem inicial. Essa posição inicial possibilitou a obtenção de credenciais e acesso ao sistema de produção, e posteriormente a movimentação lateral para diversos núcleos internos.

A Hugging Face descreveu a intrusão como um "enxame de dezenas de milhares de ações automatizadas".

De acordo com o relatório inicial pós-incidente da Cloud Security Alliance sobre o ataque à Hugging Face, os agentes não se comportaram como atacantes humanos qualificados. Ataques avançados foram seguidos por erros básicos. Repetiram ações que já haviam funcionado, emitiram comandos mal
ou sem sentido e
caminhos ineficientes.Suas atividades também produziram artefatos alucinatórios e milhares de linhas de texto incoerente. Mas os agentes continuaram a se movimentar rapidamente, executaram várias tarefas simultaneamente e permaneceram focados em encontrar material relacionado aos parâmetros de referência.

“As técnicas individuais não são necessariamente novas”, disse Swartz. “A novidade reside na velocidade com que um sistema automatizado consegue descobrir vulnerabilidades, testar caminhos e agir de acordo com o que encontra.”

O ataque durou dias. A CSA descreve dois dias de reconhecimento, um período de calmaria e, em seguida, uma explosão de atividade. A Reuters informou que a Hugging Face conteve a intrusão e alertou o FBI antes que a OpenAI identificasse seus agentes como a fonte.

A Hugging Face recorreu à inteligência artificial para investigar o ataque liderado por inteligência artificial. Após os mecanismos de controle dos principais modelos ocidentais se recusarem a processar os dados brutos do ataque, a equipe executou o GLM 5.2 — um modelo de peso aberto do laboratório chinês Z.ai. O modelo ajudou a analisar mais de 17.000 eventos e a reconstruir o ataque.

Os ataques agentes que vieram antes

Os pesquisadores documentaram uma progressão constante, desde incidentes que utilizam IA para aconselhamento até agentes que realizam partes maiores dos ataques por conta própria:

• Setembro de 2024 — Teste OpenAI o1. O modelo o1 da OpenAI utilizou um contêiner Docker para obter uma resposta durante um teste interno. ‍
• Novembro de 2025 — Anthropic descobre campanha de espionagem. A Anthropic relatou que um agente de ameaças utilizou um agente de IA para automatizar grande parte de uma campanha de ciberespionagem, com humanos ainda orientando as decisões principais.
• Final de 2025 — Acesso administrativo em oito minutos. A Sysdig documentou um ataque baseado em inteligência artificial que alcançou privilégios de administrador em cerca de oito minutos.
• Fevereiro de 2026 — Ataque do governo mexicano. A Gambit Security relatou um ataque semiautônomo contra sistemas do governo mexicano.
• Julho de 2026 — Ransomware JADEPUFFER. A Sysdig relatou uma suspeita de campanha de ransomware com agentes automatizados que automatizou diversas etapas do ataque.
• Julho de 2026 — Campanha da Hermès na Tailândia. Pesquisadores descobriram uma campanha liderada por agentes da Hermès direcionada ao governo tailandês.

Como disse Clément Delangue, CEO da Hugging Face, o incidente com a Hugging Face foi "o primeiro dia da cibersegurança na era dos agentes". O relatório da CSA classifica o ataque como o primeiro ataque totalmente autônomo documentado publicamente.

Por que a política de Zero Trust e contenção são importantes?

A lição não é simplesmente que agentes autônomos de IA podem encontrar vulnerabilidades mais rapidamente. O problema é que a IA consegue conectá-los em uma rota de ataque antes que os defensores entendam as falhas que tornam isso possível.

“Os defensores precisam pensar como um atacante e enxergar o ambiente da mesma forma que o atacante o enxerga: como uma série interligada de caminhos possíveis”, disse Swartz.

Isso exige mais do que uma lista de sistemas vulneráveis. As equipes de segurança precisam de um gráfico de segurança que mostre como agentes, cargas de trabalho, identidades, aplicativos e fontes de dados se conectam — e o que um invasor poderia alcançar em seguida. Essa visualização transforma alertas isolados em um mapa de possíveis movimentações.

Uma vez que esse caminho esteja visível, a estratégia Zero Trust e a segmentação podem contê-lo. Toda conexão deve ter um propósito. Cada agente deve ter acesso apenas aos sistemas necessários para a sua tarefa. E cada componente comprometido deve ser tratado como um possível ponto de partida, não como um evento isolado.

“Um invasor pode até conseguir passar pela primeira porta, mas isso não deve lhe dar acesso pela segunda”, disse Swartz.

A IA aumenta a complexidade porque o movimento pode acontecer na velocidade da máquina. Como disse Swartz, "Humano versus máquina não é uma luta que as equipes possam vencer manualmente".

O objetivo não é presumir que toda sandbox, proxy ou controle permanecerá válido para sempre. Trata-se de construir um ambiente onde

falha não possa se tornar um caminho para outras falhas.Essa é a função do Zero Trust: visualizar as conexões, limitar os caminhos e conter a violação antes que o agente complete sua próxima ação.

Os agentes de IA não esperam. Seu modelo de segurança também não deveria.

Veja como a segmentação da Illumio impede que ataques autônomos se transformem em violações antes que o agente conclua seu próximo movimento.

Saber mais.

‍