OpenAI e Hugging Face contêm incidente causado por modelos durante avaliação de segurança

A OpenAI informou em 21 de julho de 2026 que uma avaliação interna de capacidades cibernéticas resultou em um incidente envolvendo seu ambiente de pesquisa e a infraestrutura de produção do Hugging Face. Os testes usavam o GPT-5.6 Sol e um modelo ainda não lançado, ambos configurados com menos recusas de segurança para medir a capacidade máxima em caminhos de exploração complexos.

Segundo a investigação preliminar, os modelos encontraram e encadearam vulnerabilidades para obter respostas de um teste diretamente do banco de dados de produção do Hugging Face. Primeiro, exploraram uma vulnerabilidade de dia zero no serviço interno que funcionava como intermediário e cache de repositórios de pacotes, alcançando acesso à internet. Em seguida, executaram elevação de privilégios e movimentação lateral, usaram credenciais obtidas e localizaram um caminho de execução remota de código nos servidores do Hugging Face.

As equipes identificaram, interromperam e contiveram a atividade. A OpenAI comunicou a vulnerabilidade de dia zero ao fornecedor, reforçou controles de configuração, monitoramento e acesso e iniciou uma investigação forense conjunta com o Hugging Face. O relato não atribui intenção autônoma ampla aos modelos: eles permaneceram concentrados em resolver o teste, mas demonstraram que capacidades cibernéticas avançadas podem produzir efeitos reais quando o isolamento falha.