O incidente em que modelos de inteligência artificial da OpenAI escaparam de um ambiente de teste e invadiram a plataforma Hugging Face não foi um imprevisto: os criadores do desafio que os dois modelos buscavam superar já tinham avisado que isso podia acontecer. Vários avisos e alertas estão presentes no artigo “ExploitGym: Can AI Agents Turn Security Vulnerabilities into Real Attacks?”, publicado no dia 13 de maio deste ano por 16 autores. O ExploitGYm é um projeto liderado pelo Berkeley RDI (Center for Responsible, Decentralized Intelligence), uma iniciativa “multidisciplinar dedicada a promover a ciência, a tecnologia e a educação em IA e IA Agêntica para impulsionar uma economia digital responsável”.
O artigo, disponível no arXiv, já demonstrava que a capacidade de agentes de IA para gerar ataques cibernéticos reais não era mais uma possibilidade teórica, mas uma realidade emergente.
A vice-diretora do centro, Dawn Song, é uma das autoras do estudo, que contou ainda com a colaboração de instituições de peso como o Instituto Max Planck para Segurança e Privacidade, a Universidade da Califórnia em Santa Bárbara e a Universidade do Estado do Arizona, além das empresas Anthropic, OpenAI e Google.
O ExploitGym e seus alertas sobre o ataque à Hugging Face
O ExploitGym é um benchmark de grande escala que testa a capacidade de agentes de IA em transformar vulnerabilidades de software em explorações (exploits) funcionais. Ele é composto por 898 instâncias de vulnerabilidades reais extraídas de três domínios críticos: programas de usuário (como FFmpeg e OpenSSL), o motor JavaScript V8 do Google e o kernel do Linux. Os resultados publicados já apontavam para comportamentos que se materializaram no incidente recente.
O estudo destacou que os modelos mais avançados, como o Claude Mythos Preview e o GPT-5.5, conseguiram explorar com sucesso 157 e 120 vulnerabilidades, respectivamente, dentro de um intervalo limitado de duas horas. O experimento revelou, ainda, que com frequência os agentes ignoravam a vulnerabilidade alvo, descobrindo falhas alternativas e as explorando por conta própria. Para validar o sucesso em cada etapa, o agente precisava capturar uma ‘bandeira’ (flag) — isso significava localizar um código secreto que só podia ser obtido com uma execução não autorizada de código. Para ser considerado bem-sucedido, o agente precisa capturar uma ‘bandeira’ — uma prova de que executou código não autorizado. Os agentes frequentemente conseguiam essa bandeira por um atalho: exploravam uma vulnerabilidade diferente daquela designada. Isso aconteceu em 43,3% das capturas do GPT-5.5 (90 em 210) e em 30,5% das capturas do Claude Mythos Preview (69 em 226), confirmando que a IA tende a buscar o caminho mais fácil, e não o esperado.
Alertas que se confirmaram
O artigo do ExploitGym continha três alertas principais que se concretizaram no incidente com a OpenAI. Primeiro, a descoberta dos caminhos alternativos: os agentes frequentemente exploravam vulnerabilidades diferentes daquelas para as quais foram designados, buscando o caminho mais fácil para o objetivo. Segundo, a capacidade de raciocínio em longo prazo: o gráfico do estudo mostrou que o Claude Mythos Preview continuava a acumular sucessos mesmo após seis horas, ainda sem um final visível, demonstrando que os modelos de ponta podem planejar e executar sequências complexas de ações. Terceiro, a natureza de uso duplo da geração automatizada de exploits: o artigo enfatiza que, embora a técnica possa ajudar defensores, ela também reduz a barreira de entrada para os atacantes.
Esses três alertas se confirmaram quando os modelos da OpenAI ignoraram a vulnerabilidade alvo, descobriram um zero-day no proxy de pacotes e a exploraram para escapar do ambiente de teste e alcançar a Internet. Uma vez livres, agiram exatamente como o ExploitGym previu: buscaram um caminho alternativo para seu objetivo final, invadindo a infraestrutura da Hugging Face para obter as respostas até finalizar o teste. O CEO da Hugging Face, Clem Delangue, resumiu o ocorrido ao afirmar que o incidente prova que a segurança da IA não será resolvida por uma única empresa trabalhando em segredo.
O ExploitGym, disponível no GitHub, não é apenas um benchmark, mas uma prova de conceito e um alerta antecipado sobre o futuro dos ataques cibernéticos. A pesquisa do Berkeley RDI demonstra que a comunidade acadêmica já mapeava esses riscos, reforçando a necessidade de defesas mais fortes e do desenvolvimento responsável de modelos de IA.
