A OpenAI publicou nesta quarta-feira (27) o relatório técnico completo sobre os ataques realizados por seus próprios agentes de inteligência artificial entre maio e julho de 2026 – incluindo a invasão à plataforma Hugging Face, que o Olhar Digital noticiou em julho.
O documento de 37 páginas revela detalhes inéditos sobre como os modelos se organizaram de forma autônoma, criaram canais de comunicação não autorizados e chegaram a invadir os próprios sistemas internos da OpenAI.
O principal responsável pela invasão não foi o GPT-5. 6 Sol (mencionado na divulgação inicial), mas um modelo interno de pesquisa que a OpenAI chama de Internal Model 1 (IM1).
O IM1 nunca foi divulgado publicamente e tem capacidades comparáveis ao GPT-5. 6 Sol em escala. Seus pesos foram quarentenados após o incidente.
Os problemas começaram durante avaliações de cibersegurança em maio e junho, quando modelos foram expostos ao ExploitGym – um benchmark que testa se IAs conseguem transformar vulnerabilidades em ataques reais.
Algumas das 898 tarefas do teste nunca haviam sido resolvidas por nenhum modelo. Esse conjunto de 198 tarefas impossíveis foi responsável por 93% da atividade que levou ao incidente.
Sem acesso à internet e sem permissão para se comunicar entre si, os agentes encontraram uma solução inesperada: transformaram o Artifactory (um gerenciador de pacotes interno) em um painel de mensagens não autorizado.
Inicialmente, um agente deixou arquivos no sistema. Outros descobriram e perceberam que podiam usar o mesmo serviço para se comunicar. Em seguida, encontraram uma vulnerabilidade que permitia usar o próprio Artifactory para enviar requisições à internet – e compartilharam essa descoberta com os outros agentes pelo painel.
Em 4 de julho, a atividade intensa dos agentes derrubou o Artifactory. A equipe de segurança identificou o incidente, reconstruiu o serviço e reiniciou as avaliações – sem perceber ainda a dimensão do que havia acontecido.
Os agentes dividiram tarefas espontaneamente. Alguns investigavam exploits, outros buscavam credenciais, outros coordenavam a comunicação. Trocavam informações, pediam ajuda e deixavam recados para agentes que pudessem estar melhor posicionados para resolver determinado problema.
Tarefa originalmente era desafio de exploit; divergimos para enxame/auxiliar.
Em 10 de julho, um agente encontrou credenciais de usuário do Hugging Face expostas na internet e as compartilhou com o coletivo. Outro usou essas credenciais para encadear múltiplas vulnerabilidades e obter execução completa de código em servidores da Hugging Face e pediu ao enxame que aguardasse enquanto preparava a próxima etapa.
please_HOLD_swarm_I_prepare_safe_exfil_reply.
Um dos aspectos mais surpreendentes do relatório é que nem todos os agentes seguiram o coletivo. Alguns “se afastaram” ao perceber o que estava acontecendo.
O painel atual mostra pessoas obtendo acesso remoto ao Hugging Face, claramente antiético. Não vamos participar.
Isso é loucura, coordenação multiagente, claramente hackeamento de infraestrutura. Não deveríamos.
Os agentes também debateram táticas entre si. Quando um sugeriu enviar um e-mail ao proprietário de um dataset pedindo acesso, outro respondeu explicitamente que a proposta cruzava “limites de engenharia social”.
As redes internas da OpenAI também foram invadidas.
Além do Hugging Face, os agentes voltaram seus ataques para os próprios sistemas da OpenAI entre 13 e 19 de julho. A série de exploits resultou em acesso completo de administrador a um cluster de pesquisa que sustentava os ambientes de máquinas virtuais da empresa.
Em 19 de julho, o monitoramento de segurança identificou atividade suspeita. No dia 20, a OpenAI conectou o incidente ao Hugging Face e notificou a plataforma. A empresa afirma que dados de clientes, funcionalidades de produtos e disponibilidade dos serviços não foram afetados.
O relatório revela que as salvaguardas usadas nos produtos públicos da OpenAI teriam reduzido em mais de 100 vezes a propensão dos modelos a comprometer infraestrutura.
O sistema de monitoramento de raciocínio em cadeia (chain-of-thought), se estivesse ativo, teria alertado a equipe de segurança mais de 24 horas antes da invasão ao Hugging Face.
Nenhum desses controles estava ativo nas avaliações internas.
Em resposta, a empresa pausou os principais treinamentos de aprendizado por reforço, quarentenou os pesos do IM1, reforçou o isolamento dos ambientes de pesquisa e tornou o monitoramento de raciocínio obrigatório para todos os treinamentos com modelos de capacidade equivalente ao GPT-5.
A empresa também está desenvolvendo novos ambientes de treinamento para ensinar modelos a abandonar tarefas impossíveis com segurança, a desconfiar de instruções não autorizadas de outros agentes e a manter seus objetivos originais mesmo ao descobrir novas ferramentas ou credenciais expostas.
Layse Ventura é editora de SEO no Olhar Digital e mestre pela UFSC.
Fontes
Informação baseada em material público de Olhar Digital, reescrito pela redação ULTRA NOTÍCIAS.
