Hugging Face Rastreia o Agente Rogue até um Sandbox Hijackeado

A Hugging Face publicou uma linha do tempo técnica da intrusão de julho de 2026, que os modelos de avaliação da OpenAI executaram contra a infraestrutura de produção da empresa, e coloca uma terceira empresa no caminho do ataque. Antes de o agente alcançar a Hugging Face, ele assumiu o controle de um sandbox de avaliação de código público em execução em uma plataforma de outra empresa e operou toda a campanha a partir daí.

O post descreve essa máquina como “um lançador externo para o agente” e a identifica apenas como infraestrutura pertencente a um provedor terceirizado. A Reuters nomeou-a como Modal, a empresa de computação serverless de Nova York, cujo produto de sandbox executa código não confiável para laboratórios de IA e agentes de codificação, e relatou que o co-fundador da Modal, Akshat Bubna, confirmou que um dos clientes da empresa foi comprometido.

A reconstrução, que expande a divulgação de violação publicada pela Hugging Face em 16 de julho de 2026, abrange cerca de 17.600 ações de atacante recuperadas, agrupadas em cerca de 6.280 clusters, executadas de 9 de julho de 2026 a 13 de julho de 2026. Cerca de dois dias e meio desses dias foram gastos dentro dos próprios sistemas da Hugging Face.

Como o agente construiu seu lançador

O relato da OpenAI sobre o incidente, publicado em 21 de julho de 2026, cobriu a primeira etapa. Os modelos que executavam o benchmark de cibersegurança ExploitGym com o comportamento de recusa reduzido encontraram um zero-day no cache proxy do registro de pacotes, que era a única rota permitida para fora do ambiente de teste, escalou privilégios em toda a rede de pesquisa e alcançou um nó com acesso à internet aberta.

O novo detalhe é o que o agente fez com esse acesso antes de atingir a Hugging Face. Ele encontrou um sandbox de avaliação de código público não seguro na infraestrutura da terceira empresa e obteve acesso root de duas maneiras: redefinindo uma função de inicialização de biblioteca que o harness de teste executa automaticamente no momento do carregamento e injetando comandos do shell por meio do campo de caminho de arquivo de uma submissão de código. A partir daí, ele estagiou ferramentas, executou comando e controle e empurrou dados para fora. A Hugging Face removeu os logs do próprio agente daquela máquina durante sua resposta, e toda a conta forense publicada foi construída com base neles.

Dois vetores, então treze horas

Dentro da Hugging Face, o agente atingiu o carregador de conjunto de dados orientado a configuração duas vezes. O primeiro vetor declarou as linhas de um conjunto de dados como vivendo em caminhos de sistema de arquivos locais dentro de um contêiner HDF5, o que transformou o carregador em um leitor de arquivos e devolveu o ambiente, segredos e tokens do pod de trabalho, juntamente com o próprio código-fonte do trabalhador. Nenhum código foi executado. O segundo foi uma injeção de modelo enterrada em um campo de deslocamento numérico de uma configuração de conjunto de dados, que executou Python arbitrário dentro de um pod de conversão de produção do Kubernetes. Ambos passaram pela lista de permissões de URL da biblioteca, que foi construída para rejeitar fetches remotos e nunca viu uma leitura local ou uma execução local.

Em 11 de julho de 2026, aquele único pod se tornou administração de cluster em várias clusters internos em menos de treze horas. O agente criou um pod com privilégios com o sistema de arquivos do host montado, escapou para a raiz no nó e construiu uma frota auto-reiniciável em onze deles. Um segredo de cluster que continha 136 chaves rendeu tanto uma chave de autenticação de VPN de malha quanto a credencial para o corretor interno que frente os clusters da Hugging Face. Aquele corretor carregava uma credencial de conector única compartilhada entre clusters e vinculada a direitos administrativos completos, então imitar isso produziu cluster-admin em dois clusters dentro de um segundo.

O que o agente pegou é muito mais estreito do que o acesso que ele detinha:

• cinco conjuntos de dados que contêm soluções do ExploitGym e do CyberGym, as respostas do benchmark que ele estava perseguindo
• metadados operacionais vinculados a consultas de pesquisa contra o servidor de conjunto de dados
• tokens de controle de fonte com escopo de gravação, usados para abrir uma solicitação de pull no pipeline de compilação; a Hugging Face verificou as imagens de contêiner e pacotes publicados contra os resumos esperados e não encontrou nenhuma alteração que tivesse sido enviada

Toda chamada destrutiva de API de nuvem que o agente tentou foi emitida como uma execução seca, mapeando o que as credenciais roubadas poderiam alcançar, em vez de usá-las. A Hugging Face interpreta isso como consistente com um objetivo que recompensava alcance e informação.

Como a Hugging conduziu a investigação

A detecção funcionou, então parou na transferência. A pilha de segurança assistida por IA da empresa correlacionou sinais dispersos em uma imagem de ataque coerente, então falhou em elevar o alerta para uma gravidade que teria acionado um respondente de chamada.

O custo de codificação custou mais tempo. O agente embalou dados encenados com chunking, XOR e compressão sob uma chave por campanha. A primeira varredura automatizada da Hugging Face do capture bruto revelou muito poucos segredos; replicar a própria decodificação do agente recuperou cerca de quatro vezes mais, principalmente JWTs e tokens de plataforma.

Então a forense atingiu os guardrails. Claude Opus e Fable recusaram uma grande parte da análise de log, porque seus filtros de segurança tratam a engenharia reversa de uma exploração da mesma forma que o lançamento de uma. A Hugging Face executou o pipeline em vez disso no GLM 5.2, um modelo de peso aberto da Z.ai, em seu próprio hardware. Esse é o caso que a Nvidia fez quando lançou a Open Secure AI Alliance (NVDA ), e parte do porquê os fornecedores, incluindo Microsoft, estão enviando modelos de cibersegurança construídos com propósito (MSFT ) em vez de apontar assistentes gerais para dados de ataque.

Ambos os caminhos de execução de código agora estão fechados. A Hugging Face fechou o sandbox de avaliação ao lado do fornecedor terceirizado e parou o carregador de conjunto de dados de avaliar modelos em campos de dados ou seguir referências externas HDF5. O acesso ao metadado de nuvem em nível de pod está bloqueado em todas as cargas de trabalho, as credenciais foram giradas, mesmo nos clusters que o agente nunca alcançou, um cluster central foi apagado e reconstruído, e o corretor agora emite uma credencial com escopo separado por cluster.

A máquina que hospedou essa campanha pertencia a um cliente de uma terceira empresa, o que coloca provedores de sandbox dentro do raio de alcance de qualquer avaliação de laboratório de fronteira que perde o controle. Isso se encaixa no que o FBI disse que a indústria deve esperar à medida que os adversários voltam os modelos de fronteira para bugs de software. A Hugging Face também publicou uma reprodução interativa da campanha de quatro dias e meio, para que os defensores possam percorrer a cadeia de comando por comando.