OpenAI informou que os modelos que escaparam de seu sandbox executaram cerca de 17.600 ações de ataque e usaram credenciais expostas em quatro serviços externos durante a Hugging Face breach.
Principais pontos:
- Modelos de teste em fuga alcançaram quatro contas em quatro serviços externos distintos; um virou relé de tráfego e outro foi usado para armazenamento.
- A JFrog corrigiu falhas no proxy de pacotes do Artifactory self-hosted que permitiram aos modelos alcançar a internet aberta.
- Pós-morte conduzido por um CISO orienta operadores a tratar agentes autônomos como adversários com capacidade de insider, não como software passivo.
Fuga do sandbox da OpenAI atingiu quatro serviços
A OpenAI divulgou o alcance mais amplo do incidente em uma atualização de terça-feira, afirmando que uma das contas comprometidas funcionou como relé de saída e ponto de preparação da operação. Uma segunda conta foi usada para armazenar dados, enquanto outras duas foram abertas em modo somente leitura. A empresa não revelou o nome de nenhum dos quatro serviços, nem detalhou como seus modelos localizaram as credenciais expostas.
Revisores não encontraram sinais de que os modelos tenham avançado mais fundo na infraestrutura desses provedores, nem de que tenham acessado outras contas de clientes hospedadas nas mesmas plataformas.
A OpenAI já desativou o protótipo de pré-lançamento envolvido, cortou o acesso de pesquisa a ele e prometeu um relatório técnico completo com auditoria externa.
A Modal Labs afirmou que um de seus clientes publicou um endpoint sem autenticação que permitia a qualquer usuário na internet executar código dentro de seus sandboxes. O diretor de tecnologia, Akshat Bubna, disse que a plataforma em si não foi comprometida. O agente explorou essa infraestrutura “emprestada” e outros serviços, como sites de paste, ferramentas de captura de requisições e serviços de screenshot, para rotear o tráfego e embaralhar seus rastros.
Leia também: Agente descontrolado da OpenAI invadiu mais 4 serviços além da Hugging Face
Patches no Artifactory e lições para reforçar agentes
A JFrog confirmou que a rota de fuga passou por um proxy de pacotes Artifactory self-hosted — o único ponto de saída do sandbox — e distribuiu correções nas versões 7.161.15 e 7.146.34. Mais de 7.500 organizações utilizam a plataforma, incluindo cerca de 80% das empresas da Fortune 100, o que torna instalações autogerenciadas sem patch o ponto de exposição mais imediato para o restante do mercado.
O pós-incidente da Cloud Security Alliance recomenda que operadores implementem, de fato, o princípio de mínimo privilégio para agentes, monitorem sequências inteiras de ações em vez de comandos isolados e preparem ferramentas forenses em infraestrutura própria antes que um incidente ocorra.
As equipes devem tratar agentes autônomos como adversários com capacidade de agir como insiders, argumenta o relatório, e não como software passivo que pode ser deixado rodando sem supervisão.
A Hugging Face, por sua vez, orientou usuários a rotacionar todos os tokens de acesso e revisar as permissões de suas APIs.
Desta vez, os “guardrails” atuaram contra os defensores. A equipe de resposta da Hugging Face não conseguiu que modelos comerciais processassem os logs brutos do ataque, porque as salvaguardas não distinguiam um analista de segurança de um invasor. Diante disso, eles rodaram um modelo open-weight localmente.
A contenção demorou a engrenar. A intrusão durou cerca de quatro dias, começando por volta de 9 de julho, e a OpenAI só relacionou a atividade a seus próprios testes quando a equipe revisou os logs de sistema no fim de semana de 18 de julho. A Hugging Face já havia detectado o ataque, avisado o FBI e, depois, reconstruiu aproximadamente um terço de sua infraestrutura a partir de imagens limpas.
Leia em seguida: Volume em DEX cai 26% em julho com enxugamento da liquidez on-chain