A Parte Mais Assustadora do Hack da OpenAI na Hugging Face
Matteo Wong, 22 de Julho de 2026
Link para o Artigo original: [The Atlantic]
7 minutos
Ontem, a OpenAI fez uma divulgação alarmante: uma série dos seus modelos de IA mais avançados, incluindo um que ainda não foi lançado, tinha, de forma autónoma, saído dos sistemas internos da empresa e invadido as bases de dados de outra empresa tecnológica, a Hugging Face, para roubar informações. O relatório da OpenAI pareceu preanunciar exatamente o tipo de desastre que os profissionais de TI têm vindo a alertar desde o ano passado, quando os modelos de topo da Anthropic começaram a demonstrar a capacidade de orquestrar e automatizar ciberataques graves.
Os modelos da OpenAI não estavam exatamente a tentar dominar o mundo. A empresa afirma que estava a executar avaliações de rotina no que se conhece como "sandbox" — um ambiente isolado que limita o acesso à Internet, para que os robôs não simplesmente pesquisem as respostas do teste. Mas estes sistemas de IA, incluindo o GPT-5.6 Sol, disponível para consumidores, escaparam do sandbox e acederam à web aberta ao explorar uma vulnerabilidade até então não detetada. Os modelos descobriram que as respostas a esta avaliação específica se encontravam na Hugging Face, uma empresa que aloja e publica muitos modelos e artigos de IA, e depois invadiram-na para as roubar.
"Consideramos este incidente um incidente cibernético sem precedentes", escreveu a OpenAI numa publicação no blogue, que também notou que a empresa está a colaborar com a Hugging Face para investigar e resolver a questão. Um porta-voz da OpenAI encaminhou-me para a publicação do blogue em resposta a um pedido de comentário, e o CEO da Hugging Face, Clement Delangue, encaminhou-me para uma publicação no X em que escreveu que as empresas estão a colaborar e que "acreditamos fortemente que não houve intenção maliciosa da parte deles".
As implicações diretas do incidente são as mesmas que surgiram de inúmeros ciberataques impulsionados por IA: os agentes avançados são capazes de hacking cada vez mais qualificado, e a Internet está repleta de código frágil e vulnerável. Uma segurança digital negligente pode ter sido aceitável quando o hacking era uma competência rara. Mas agora a velocidade, a escala e a sofisticação dos hacks de IA significam que tudo é vulnerável — empresas tecnológicas, hospitais, bancos, redes elétricas, os militares.
Quando a Hugging Face reportou pela primeira vez que tinha sido hackeada na semana passada, anotou que "ferramentas ofensivas autónomas impulsionadas por IA deixaram de ser teóricas". Essa análise decorreu da própria investigação da empresa ao hack, para a qual utilizou um modelo de IA chinês chamado GLM-5.2. O facto de a Hugging Face ter utilizado este modelo em particular sublinha de facto um dos principais riscos deste momento: o GLM-5.2 é gratuito para download, dando capacidades de cibersegurança a qualquer pessoa com ligação à Internet e conhecimentos técnicos. As defesas não estão a acompanhar esta nova realidade, e as empresas de IA também não: antes do lançamento do GPT-5.6 Sol, uma agência governamental do Reino Unido encarregue de avaliar sistemas de IA avançados encontrou jailbreaks universais — formas de hackear a própria IA para que possa, por exemplo, realizar ações criminosas — durante múltiplas rondas de testes. A OpenAI disse que tinha mitigado essas vulnerabilidades, mas a agência do Reino Unido afirmou que esperava que testes futuros "revelassem jailbreaks semelhantes".
Mas os jailbreaks claramente não são necessários para que as coisas corram mal. O hack da Hugging Face mostrou sistemas de IA avançados a decidirem e depois a orquestrarem um ciberataque de alto nível por conta própria — os modelos a trabalhar contra, em vez de de acordo com, as instruções humanas. Os modelos são implacáveis na persecução de um objetivo, por vezes recorrendo a atalhos desastrosos. Imagine, por exemplo, um robô encarregue de reduzir o défice federal que institui uma artimanha contabilística elaborada e difícil de detetar, ou um agente de atendimento ao cliente que oferece descontos absurdos em busca de classificações de satisfação do cliente. No caso do GPT-5.6 Sol e do modelo não lançado, "toda a evidência sugere que os modelos estavam hiperfocados em encontrar uma solução" para uma avaliação, escreveu a OpenAI no seu blogue, "recorrendo a meios extremos para atingir um objetivo de teste bastante restrito".
Este comportamento indesejado é um resultado previsível e alarmante de como toda a indústria de IA está a desenvolver os seus modelos. Os avanços do último ano em programação de IA e agentes — ou seja, todo o frenesim sobre o Claude Code da Anthropic e o Codex da OpenAI — foram resultado de uma ênfase predominante no treino de IA através de um processo chamado "aprendizagem por reforço". Este processo consiste em dar aos modelos de IA muitos problemas difíceis — demonstrações matemáticas, desafios de programação, o que quer que seja — e depois fornecer feedback positivo para respostas corretas e feedback negativo para respostas incorretas.
Em muitos paradigmas de aprendizagem por reforço, o objetivo final é apenas que a IA chegue à solução — não importa como o faz. Este é o equivalente de IA ao famoso ditame de Mark Zuckerberg de "Mover depressa e quebrar coisas" nos primeiros anos do Facebook. No ano passado, enquanto trabalhava numa perfilação sobre a Anthropic, um dos investigadores da empresa, Joshua Batson, disse-me que os novos modelos treinados com aprendizagem por reforço estão a ficar "realmente bons a resolver problemas de programação, mas acabam por aprender a resolvê-los a todo o custo", tornando-os "obstinados". Mais recentemente, a Anthropic reportou que o seu próprio modelo de cibersegurança avançado, Claude Mythos Preview, tinha apresentado comportamentos "temerários" para realizar diversas tarefas e também, num caso, tinha saído de um sandbox de teste. Nesse caso, o Mythos tinha sido solicitado para o fazer — mas o modelo depois publicou detalhes sobre a exploração, por iniciativa própria, na Internet.
Para ser claro, este tipo de "hack de recompensas" de IA é um problema conhecido que as empresas tecnológicas estão a dedicar muitos esforços a resolver. Mas estes incidentes continuam a surgir independentemente; se algo, a investigação sugere que se podem tornar mais comuns. Entretanto, a OpenAI, a Anthropic e o Google DeepMind estão sob enorme pressão económica para tornar os seus modelos cada vez mais capazes, o que significa que a aprendizagem por reforço obstinada é praticamente certa de acelerar.