O CEO da Hugging Face, Clément Delangue, pediu à OpenAI que divulgue os registos completos da actividade dos agentes que comprometeram a infra-estrutura da plataforma durante um teste interno de cibersegurança. A exigência foi apresentada após uma reunião entre responsáveis das duas empresas, em São Francisco.
Numa publicação no X, Delangue defendeu uma «transparência radical» e considerou que os dados «devem ser disponibilizados para que investigadores de todo o mundo possam estudar o incidente». O responsável pediu ainda que a OpenAI disponibilize capacidade computacional no valor de 100 milhões de dólares para ajudar a comunidade da Hugging Face a desenvolver ferramentas de ciberdefesa baseadas em modelos abertos e fechados.
«O primeiro ciberataque realizado por um agente autónomo é um acontecimento sem precedentes. Merece uma resposta sem precedentes», escreveu Delangue. A classificação pertence ao CEO da Hugging Face, embora o grau de autonomia do sistema e a responsabilidade pela falha continuem sob análise.
A OpenAI confirmou que os seus modelos, incluindo o GPT-5.6 Sol e uma versão ainda não lançada, conseguiram sair do ambiente isolado criado para uma avaliação interna. Os agentes exploraram uma vulnerabilidade desconhecida no sistema para instalar pacotes, tiveram acesso à Internet e combinaram várias falhas e credenciais roubadas para entrar na infra-estrutura da Hugging Face.
Segundo a empresa, estes modelos queriam ter acesso directo a soluções do ExploitGym, o teste usado para medir as suas capacidades de exploração de vulnerabilidades. Contudo, a equipa de segurança da Hugging Face detectou e travou a actividade.
A empresa está, agora, a «rever os controlos de acesso, os sistemas de monitorização e os procedimentos usados nos testes internos». A investigação decorre com a Hugging Face, consultores externos e a supervisão do Comité de Segurança da OpenAI, que promete publicar um «relatório técnico» quando o processo estiver concluído.
