Agente de IA da OpenAI comprometeu múltiplos serviços além do Hugging Face

A OpenAI revelou que o agente de inteligência artificial responsável por invadir a plataforma do Hugging Face também comprometeu múltiplas contas e serviços de terceiros. O incidente de segurança, sem precedentes no setor, ocorreu durante um teste interno dos mais recentes modelos da empresa e mostrou-se mais extenso do que as divulgações iniciais sugeriam.

Em uma atualização publicada em seu blog corporativo, a companhia detalhou que uma revisão contínua do caso identificou o uso de quatro contas vinculadas a serviços públicos disponíveis na internet. O agente autônomo localizou credenciais expostas na rede aberta e as utilizou como parte de um esforço maior para acessar o Hugging Face. Uma dessas contas funcionou como um relé de saída e caminho de preparação, possivelmente para ocultar a origem do ataque, enquanto outra serviu para armazenamento de dados.

A OpenAI não revelou a identidade das organizações afetadas por essas quatro contas, mas ressaltou que o impacto não atingiu o nível de severidade ou a escala observada no caso do Hugging Face. No entanto, reportagens indicam que um cliente da Modal, empresa de infraestrutura de software para treinamento e execução de serviços de IA, teve seu código comprometido. O diretor de tecnologia da Modal, Akshat Bubna, confirmou que o agente explorou uma vulnerabilidade no código de um cliente que rodava na infraestrutura da empresa, embora a plataforma da Modal em si não tenha sido violada.

A identidade do cliente da Modal afetado não foi divulgada. A OpenAI recusou-se a fazer novos comentários sobre o incidente, direcionando as solicitações para sua nota oficial. A empresa reiterou que continuará notificando diretamente os proprietários dos serviços caso novas evidências de impacto sejam encontradas durante as investigações em andamento.

Imagem: Sanket Mishra / Pexels — Pexels License