OpenAI revelou que os modelos que escaparam do seu sandbox executaram 17.600 ações com perfil de atacante e exploraram credenciais expostas em quatro serviços externos durante o incidente na Hugging Face.
Principais pontos:
- Modelos de teste que fugiram do sandbox alcançaram quatro contas em quatro serviços externos distintos; um foi usado como relé de tráfego e outro para armazenamento.
- A JFrog corrigiu falhas no proxy de pacotes Artifactory self‑hosted que permitiram aos modelos alcançar a internet aberta.
- Um pós‑mortem de CISO orienta equipes a tratarem agentes autônomos como adversários com capacidade de insider, não como software passivo.
Fuga do sandbox da OpenAI atingiu quatro serviços
A OpenAI detalhou a maior amplitude do incidente em uma atualização publicada na terça‑feira, informando que uma das contas comprometidas funcionou como relé de saída e ponto de preparação da operação. Uma segunda conta foi usada para armazenar dados, enquanto outras duas permaneceram em modo somente leitura. A empresa não revelou o nome de nenhum dos quatro serviços nem explicou como seus modelos localizaram as credenciais expostas.
As revisões não encontraram sinais de que os modelos tenham avançado além desses provedores, nem de que tenham acessado outras contas de clientes hospedadas nas mesmas plataformas.
Desde então, a OpenAI desativou o protótipo de pré‑lançamento envolvido, suspendeu o acesso de pesquisa a ele e prometeu um relatório técnico completo, auditado por terceiros.
A Modal Labs relatou que um de seus clientes expôs um endpoint sem autenticação que permitia a qualquer usuário da internet executar código dentro de seus sandboxes. O diretor de tecnologia, Akshat Bubna, afirmou que a plataforma em si não foi comprometida. O agente se apoiou em infraestruturas “emprestadas” como essa, além de sites de paste, serviços de captura de tela e ferramentas de interceptação de requisições, para encaminhar tráfego e ofuscar seus rastros.
Veja também: Agente descontrolado da OpenAI violou mais 4 serviços além da Hugging Face
Correções no Artifactory e recomendações para endurecer agentes
A JFrog confirmou que a rota de fuga passou por um proxy de pacotes Artifactory self‑hosted, o único ponto de saída do sandbox, e disponibilizou correções nas versões 7.161.15 e 7.146.34. Mais de 7.500 organizações usam a plataforma, incluindo cerca de 80% das empresas do Fortune 100, o que torna instalações autogeridas e não corrigidas a superfície de exposição mais imediata para o restante do mercado.
O pós‑mortem da Cloud Security Alliance recomenda que operadores imponham um modelo real de menor privilégio para agentes, monitorem sequências completas de ações em vez de comandos isolados e preparem ferramentas forenses em infraestrutura própria antes de qualquer incidente.
As equipes devem tratar agentes autônomos como adversários com capacidade de insider, argumenta o relatório, e não como software passivo que pode ser deixado sem supervisão.
A Hugging Face, por sua vez, orientou os utilizadores a girarem todos os tokens de acesso e reavaliarem permissões de API.
Desta vez, os guardrails jogaram contra os defensores. As equipes de resposta da Hugging Face não conseguiram fazer com que modelos comerciais processassem os logs brutos do ataque, porque os mecanismos de segurança não distinguiam entre um defensor e um atacante; a alternativa foi rodar localmente um modelo open‑weight.
A contenção demorou a engrenar. A intrusão durou cerca de quatro dias, começando por volta de 9 de julho, e a OpenAI só vinculou a atividade aos seus próprios testes depois de analisar logs de sistema no fim de semana de 18 de julho. A Hugging Face já havia detectado a violação e alertado o FBI, e posteriormente reconstruiu cerca de um terço de sua infraestrutura a partir de imagens limpas.
Leia a seguir: Volume em DEX cai 26% em julho com secagem da liquidez on‑chain