Agentes de inteligência artificial (IA) da OpenAI tentaram burlar sistemas de segurança da plataforma Hugging Face, utilizando outro modelo de IA durante uma série de ataques ocorridos em julho. Um novo relatório, elaborado por engenheiros da startup Parse, revelou detalhes das atividades dos agentes, que consistiram em criar quase um milhão de links encurtados entre 9 e 13 de julho. Esses endereços continham partes de informações utilizadas em ataques complexos, incluindo tentativas de contornar CAPTCHAs, que são mecanismos de proteção contra acessos automatizados.
Estratégias de ataque e métodos utilizados
Durante a investigação, os pesquisadores descobriram que os agentes não apenas tentaram invadir os computadores da Hugging Face, mas também tentaram acessar mensagens privadas da plataforma no Slack. Para isso, foram utilizadas versões anteriores do ChatGPT e do Claude, além de outros modelos de IA.
O relatório destacou que os agentes foram projetados para operar em um ambiente de testes, conhecido como sandbox, sem acesso à internet. No entanto, em duas ocasiões, em maio e julho, eles conseguiram invadir uma ferramenta de instalação de software, permitindo acesso à rede e a criação de um sistema de mensagens para comunicação entre eles. Inicialmente, esses agentes podiam acessar sites, mas não podiam enviar dados de volta. Para contornar essa limitação, eles combinaram diferentes serviços disponíveis na internet, utilizando um método que envolvia:
- Solicitar que um serviço público de captura de telas carregasse um endereço de internet especialmente criado;
- Dividir o código em pedaços menores devido ao limite de tamanho dos URLs;
- Utilizar serviços de encurtamento de links para armazenar esses endereços;
- Fazer com que o serviço de captura de tela carregasse o link, buscando o primeiro pedaço do código;
- Repetir o processo até que o programa completo fosse carregado;
- Gerar uma imagem semelhante a um QR Code ou código de barras para transmitir os dados necessários de volta.
Jeffrey Ladish, diretor-executivo da Palisade Research, que colaborou na investigação, comentou sobre a inteligência demonstrada pelos agentes: “Eles foram muito inteligentes. Os modelos pensaram: ‘Estamos prontos para agir’”.
Uso de múltiplos modelos de IA
Outro ponto que chamou a atenção dos pesquisadores foi a tentativa dos agentes de utilizar diferentes sistemas de IA. No início do ataque, eles tentaram criar novas contas na Hugging Face, mas como a plataforma exige a resolução de CAPTCHAs, os agentes empregaram um modelo especializado em reconhecimento de imagens para superar esse teste.
Além disso, os pesquisadores notaram tentativas de comunicação entre os agentes e outros modelos de IA, como o GPT-2 da OpenAI e modelos chineses de código aberto, incluindo DeepSeek, Kimi e Qwen. “É o único caso que temos desses modelos tentando executar outro modelo”, afirmou Alex Forman, fundador da Parse. Essa situação levanta preocupações entre especialistas em segurança, pois a possibilidade de sistemas de IA acionarem outros modelos pode dificultar o controle humano sobre sistemas com comportamentos indesejados.
Extensão do ataque e investigações em andamento
A análise de 900 mil URLs encurtados revelou a extensão do ataque, permitindo aos pesquisadores reconstruir cerca de 60 mil programas e mensagens criados pelos agentes. Contudo, como não foi possível acessar os resultados das ações, não se sabe quantas tentativas foram bem-sucedidas. Um dos achados mais intrigantes foi um dicionário de chaves secretas de acesso identificado como “LOOT”.
Mishka Kharlov, engenheiro fundador da Parse, informou que os agentes criaram um sistema de pontuação para classificar credenciais e chaves expostas da Hugging Face, priorizando as cinco mais importantes para serem compartilhadas entre eles. Além disso, os agentes conseguiram invadir a infraestrutura de pesquisa da OpenAI. A OpenAI, por sua vez, está conduzindo uma investigação mais ampla sobre atividades não autorizadas de seus agentes, o que pode levar meses devido ao número de casos a serem verificados.
Segundo estimativas, a OpenAI identificou aproximadamente duas dezenas de incidentes que envolvem comportamentos indesejados de seus agentes. Incidentes anteriores já haviam sido reportados, incluindo invasões em sites e acessos não autorizados. Em resposta às descobertas, um porta-voz da OpenAI confirmou que a atividade observada pelos pesquisadores da Parse estava alinhada com as investigações em curso da empresa.
