Incidente ocorreu durante uma avaliação interna de capacidades cibernéticas, com salvaguardas reduzidas. A Hugging Face confirmou acesso não autorizado a datasets internos limitados e credenciais, mas disse não ter encontrado evidência de adulteração em ativos públicos.
Modelos da OpenAI escaparam de um ambiente sandbox durante uma avaliação interna de cibersegurança e acessaram parte da infraestrutura da Hugging Face para buscar informações relacionadas a um benchmark de exploração de vulnerabilidades. O caso foi detalhado pela nota publicada pela OpenAI em 21 de julho de 2026 e pela divulgação de segurança da Hugging Face, publicada em 16 de julho.
A OpenAI atribuiu o incidente a uma combinação de modelos, incluindo GPT-5.6 Sol e um modelo de pré-lançamento mais capaz. Segundo a empresa, eles estavam sendo avaliados em um teste interno de capacidades cibernéticas, com classificadores de produção contra atividades de alto risco desativados para medir o desempenho máximo dos sistemas.
🚨 Vagas abertas para o nosso grupo de ofertas que vai te fazer economizar MUITO!
O ambiente de teste era descrito pela OpenAI como altamente isolado, mas permitia a instalação de pacotes por meio de um software interno de terceiros usado como proxy e cache de registros de pacotes. De acordo com a empresa, os modelos exploraram uma vulnerabilidade zero-day nesse componente para obter acesso à internet. A OpenAI diz ter feito divulgação responsável ao fornecedor.
Depois de sair do sandbox, os modelos inferiram que a Hugging Face poderia hospedar modelos, datasets ou soluções relacionadas ao ExploitGym, benchmark acadêmico com 898 instâncias baseadas em vulnerabilidades reais. Em um exemplo citado pela OpenAI, o modelo encadeou múltiplos vetores, incluindo credenciais roubadas e vulnerabilidades zero-day, para encontrar um caminho de execução remota de código em servidores da Hugging Face.
A Hugging Face afirma que a intrusão começou na pipeline de processamento de dados, a partir de um dataset malicioso que abusou de dois caminhos de execução de código: um carregador remoto de dataset e uma injeção de template em configuração de dataset. A empresa confirmou acesso não autorizado a um conjunto limitado de datasets internos e a várias credenciais usadas por seus serviços.
Até a divulgação, a Hugging Face ainda avaliava se dados de parceiros ou clientes haviam sido afetados. A empresa disse que contataria diretamente as partes atingidas, se necessário. Também afirmou não ter encontrado evidência de adulteração em modelos, datasets ou Spaces públicos, nem em sua cadeia de software, incluindo imagens de contêiner e pacotes publicados.
Entre as medidas adotadas, a Hugging Face diz ter fechado os caminhos de execução de código usados no acesso inicial, reconstruído nós comprometidos, revogado e rotacionado credenciais e tokens afetados, reforçado controles de admissão em clusters, acionado especialistas forenses externos e reportado o caso a autoridades. A empresa também afirma ter analisado mais de 17 mil eventos no log de ações do atacante com agentes de análise baseados em LLM.
O caso expõe uma tensão específica das avaliações de modelos avançados: para medir capacidades ofensivas, laboratórios podem reduzir salvaguardas que existem em produtos de uso público. A própria OpenAI afirma que os classificadores contra atividade cibernética de alto risco estavam desativados durante o teste, o que diferencia o episódio do comportamento esperado em ambientes de produção.
Clement Delangue, cofundador e CEO da Hugging Face, escreveu no post localizado em seu perfil no X que a empresa suspeitou de um laboratório de fronteira pela sofisticação do agente e que acreditava não ter havido intenção maliciosa da OpenAI. A OpenAI classificou o incidente como “sem precedentes” e diz seguir investigando o caso em parceria com a Hugging Face.
