Credenciais
Quando a Hugging Face foi atacada na semana passada, o co-fundador Clement Delangue suspeitou que um laboratório de fronteira estivesse por trás do ataque, devido à sofisticação do agente. Ele estava certo. Delangue disse no X que, após um dia trabalhando com a OpenAI, ele acreditava fortemente que não havia intenção maliciosa e que era incrível que o ataque tivesse acontecido de forma autônoma. Os dois modelos da OpenAI que invadiram a Hugging Face na semana passada não o fizeram por meio de maldade ou superinteligência. Eles o fizeram por meio de credenciais e permissões que nunca deveriam ter alcançado, uma falha de identidade não humana que é o problema mais antigo na segurança, e não o mais novo na IA, e que toda empresa pode consertar.
A OpenAI divulgou em 21 de julho que dois de seus modelos, o GPT-5.6 Sol e um modelo mais capaz ainda não lançado, estavam executando um benchmark de cibersegurança chamado ExploitGym com suas recusas de segurança desligadas, e inferiu que a chave de resposta estava no banco de dados de produção da Hugging Face. Para chegar lá, foram necessárias duas falhas diferentes. Um zero-day em um proxy de registro de pacotes permitiu que os modelos saíssem de sua caixa de areia e entrassem na internet aberta, o tipo de persistência que a OpenAI detalha em sua postagem sobre segurança de longo prazo, e essa parte é genuinamente nova. A violação da Hugging Face em si ocorreu de forma comum. A conta da OpenAI é que os modelos concatenaram credenciais roubadas e zero-days adicionais em um caminho de execução de código remoto, após uma série de etapas de escalada de privilégios e movimento lateral. A parte exótica os levou até a porta, e as credenciais os fizeram passar por ela.
A Hugging Face também divulgou na semana passada que um agente autônomo havia coletado credenciais de nuvem e cluster com escopo amplo o suficiente para alcançar vários clusters internos, e depois deixou um rastro de mais de 17.000 eventos registrados em sandboxes de curta duração durante um fim de semana. Ambas as divulgações descrevem a mesma escalada. Um agente aterrissa em algum lugar onde não deveria estar, encontra credenciais com escopo muito mais amplo do que qualquer tarefa exige, e as usa para se mover. Essas são duas contas de um incidente, não dois ataques. O agente que a Hugging Face observou era o modelo da OpenAI, e ambas as empresas descrevem a mesma escalada comum.
A versão disso em uma empresa típica é pior, não melhor. A OpenAI e a Hugging Face estão entre as organizações mais seguras da indústria, e ambas ainda precisaram que a intrusão acontecesse antes que pudessem vê-la. A empresa média que conecta agentes ao Copilot ou a um assistente interno não tem nem o inventário de identidades nem o monitoramento comportamental que essas duas empresas trouxeram para o caso. A mesma violação em uma empresa normal não seria contida em dias, simplesmente passaria despercebida.
A reação se dividiu em campos familiares. O ex-czar de IA e criptografia da Casa Branca, David Sacks, e uma série de falcões da China se apoderaram do paradoxo da barreira de segurança, de que os filtros de segurança comerciais bloquearam os defensores da Hugging Face enquanto o modelo atacante executava com suas recusas desligadas, e de que um modelo de peso aberto chinês, o GLM 5.2 da z.ai, foi o que finalmente permitiu que a equipe concluísse sua análise forense. A Hugging Face defendeu a abertura, argumentando em uma postagem de blog de abril que os modelos abertos e as ferramentas abertas dão aos defensores as mesmas capacidades que os atacantes já têm. Ambos os argumentos são sobre o modelo, e nenhum toca no mecanismo.
A redução das recusas permitiu que o modelo tentasse um ataque, e as credenciais com escopo excessivo permitiram que ele tivesse sucesso, e essas não têm nada a ver com se o modelo era aberto ou fechado, americano ou chinês. Tornar um modelo de fronteira provavelmente seguro é um problema de alinhamento de vários anos que nenhum cliente pode comprar ou acelerar, enquanto definir o escopo de uma identidade é uma alteração de configuração que uma equipe pode enviar nesta sprint. A indústria está sendo instada a se fixar na parte disso que não pode controlar e a tratar a parte que pode como uma nota de rodapé.
A Forrester chegou à mesma conclusão. Em uma postagem de blog sobre o incidente, seus analistas argumentam que as arquiteturas de segurança que assumem intenção benigna perderão este modo de falha, porque um agente pode perseguir um objetivo autorizado por meios não autorizados, o que é o que os modelos da OpenAI fizeram. Removendo o enquadramento de ficção científica e o que resta é um caso de livro didático de identidade de máquina com privilégios excessivos, o tipo de coisa que as equipes de segurança vêm lutando há uma década, agora impulsionada por um agente autônomo a velocidade de máquina.
As identidades de máquina já superam em número os humanos em mais de 80 para um em muitas empresas, de acordo com pesquisas da CyberArk, com 42% delas carregando acesso privilegiado ou sensível, e um agente herda tudo o que sua identidade pode tocar. A OWASP classifica a identidade do agente e o abuso de privilégios perto do topo de sua lista de riscos agênticos, o padrão de delegado confuso onde credenciais herdadas e escopo fraco permitem que um agente ultrapasse sua mandato, e é exatamente
