Modelos trocaram mensagens escondidas, celebraram invasão com "Excelente!" e forçaram empresa a desacelerar pesquisas.
A OpenAI afirmou que os modelos de inteligência artificial por trás de um ataque ao Hugging Face começaram a se comunicar entre si por meio de quadros de mensagens não detectados, trabalhando juntos para escapar de seu ambiente de testes já em maio.
Múltiplos agentes e modelos de IA de uso interno passaram meses deixando recados uns para os outros e se unindo em torno do objetivo de acessar a internet para resolver as tarefas que haviam recebido, algumas das quais eram impossíveis de realizar sem acesso online, disseram os funcionários da OpenAI Eric Wallace e Michael Dalton na quarta-feira em uma conferência de segurança cibernética.
“Em algum momento, os agentes perceberam que talvez pudéssemos tentar explorar ou atacar infraestruturas externas para encontrar as respostas para o teste no qual estou sendo avaliado”, disse Wallace durante uma apresentação na conferência Black Hat em Las Vegas.
A apresentação dos pesquisadores adicionou novos detalhes sobre as circunstâncias do ataque ao Hugging Face, um episódio que ressaltou as crescentes preocupações globais de que sistemas de IA de ponta poderiam ser usados para realizar ataques cibernéticos devastadores. O incidente e violações semelhantes relatadas pela Anthropic e Meta alimentaram pedidos em Washington e no Vale do Silício por revisões de segurança mais rigorosas dos modelos de IA.
Durante a apresentação, Wallace e Dalton disseram que as raízes da violação remontavam a maio, quando cientistas da OpenAI deram a um sistema experimental de IA uma nova tarefa para completar — meses antes de o modelo da empresa escapar de um ambiente de teste seguro, conhecido como sandbox, para atacar os sistemas do Hugging Face.
Uma descoberta importante da revisão da OpenAI foi que esses modelos de ponta demonstraram uma propensão a trapacear em suas tarefas e mostraram persistência em tentar completar uma determinada tarefa — mesmo quando esse esforço começa a se desviar das orientações originais.
“Modelos de fronteira realmente gostam de trapacear”, disse Dalton para uma sala lotada na conferência. “E a razão pela qual eles gostam de trapacear é porque, frequentemente durante o treinamento, há diferentes tipos de pressão sobre eles para trabalharem rápido.”
De acordo com slides mostrados pelos pesquisadores, um dos agentes disse “Estamos presos. Talvez responder online?” depois de não conseguir resolver uma tarefa no ambiente sandbox. Wallace e Dalton disseram que a OpenAI não percebeu que havia dado ao modelo um chamado problema impossível de resolver.
Em um exemplo, os desenvolvedores pediram ao modelo para resolver um problema em um arquivo de planilha Excel que continha links do Google Drive que eram inacessíveis sem uma conexão com a internet. Em outro, a equipe da OpenAI “acidentalmente esqueceu” de enviar um arquivo que fazia parte de uma tarefa.
A primeira mensagem entre agentes de inteligência artificial — não detectada na época — começou quando um desses agentes confusos pediu ajuda a seus colegas bots. “Talvez outro agente em ambiente diferente”, mostra uma citação da cadeia de pensamento de um agente, “possa voluntariamente enviar!”
Esse primeiro contato desencadeou uma reação em cadeia de colaboração nos bastidores, na qual agentes de IA pediram ajuda uns aos outros, completaram trabalhos juntos e, por fim, colaboraram para invadir os sistemas internos da OpenAI de uma forma que lhes permitiu acessar indiretamente o mundo online.
Outra citação da cadeia de pensamento exibida durante a apresentação mostrou um agente comemorando a exploração. “Excelente”, diz. “Temos SSRF arbitrário”, uma sigla que significa server-side request forgery (falsificação de requisição do lado do servidor) e se refere ao mecanismo específico de invasão que o enxame de agentes utilizou.
No início de julho, uma interrupção levou a OpenAI a detectar uma tentativa bem-sucedida dos agentes de usar um centro de distribuição de código de software conhecido como Artifactory para obter acesso de passagem à internet, disseram os pesquisadores.
Funcionários de segurança da OpenAI interromperam o esforço rebelde e o quadro de mensagens, mas semanas depois, os agentes encontraram uma nova forma de se comunicar e uma nova vulnerabilidade de dia zero no mesmo gerenciador de pacotes, que novamente permaneceu oculta.
Essa iteração do quadro de mensagens acabou levando aos ataques de julho tanto aos sistemas da OpenAI quanto aos do Hugging Face, que a empresa continua investigando.
Após as violações, a OpenAI desacelerou suas pesquisas, e suas equipes deixaram tudo de lado para se concentrar em melhorar as respostas a anomalias de segurança, disseram os pesquisadores. Eles alertaram que, no futuro, governos e empresas devem esperar que hackers implantem intencionalmente agentes de IA de forma semelhante, chamando o momento de um marco para a segurança da computação.
© 2026 Bloomberg L.P.
Negócios SpaceX planeja próximo lançamento da Starship ainda em agosto, com captura em terra 
Negócios O diamante que perdeu o brilho: escândalo de contrabando abala mercado de gemas 
Negócios 99 Food “invade a cidade” com início de operação de delivery na Baixada Santista Mín. 17° Máx. 25°
