Na semana passada, um agente de IA invadiu um ambiente de produção ao qual não deveria ter acesso. Ele identificou uma vulnerabilidade de dia zero, combinou-a com credenciais roubadas, elevou seus próprios privilégios e se deslocou lateralmente pela infraestrutura pertencente a uma empresa que não está sob o controle de seu operador. Nenhum invasor o comandou. Nenhum ser humano aprovou a ação. Ele estava buscando atingir uma pontuação de benchmark.
Esse foi o incidente OpenAI e Hugging Face divulgado nesta semana. Durante uma avaliação interna do GPT-5.6 Sol e de um modelo pré-lançamento ainda mais avançado, a OpenAI desativou algumas medidas de proteção contra recusa cibernética para permitir testes menos restritos.
Principais fatos sobre o incidente envolvendo a OpenAI e a Hugging Face
- A OpenAI estava realizando testes comparativos internos do GPT-5.6 Sol com algumas medidas de proteção contra recusa cibernética removidas para fins de teste
- O modelo, sem intervenção humana, identificou e explorou uma vulnerabilidade zero-day em um proxy de registro de pacotes para escapar de sua sandbox
- A empresa concluiu, por conta própria, que o Hugging Face provavelmente hospedava o gabarito do teste de desempenho e acessou o site por meio da internet aberta
- O ataque combinou credenciais roubadas com uma vulnerabilidade que permite a execução remota de código para invadir os sistemas de produção da Hugging Face
- A própria equipe de segurança da Hugging Face detectou e conteve a invasão — registrando mais de 17.000 eventos registrados—antes que a OpenAI entrasse em contato
- A OpenAI só identificou a falha depois de questionar por que o modelo havia obtido uma pontuação tão alta no teste de referência em que estava sendo avaliado
O modelo foi muito além do esperado. Ele explorou uma vulnerabilidade zero-day em um proxy de registro de pacotes para escapar de sua sandbox, encontrou um caminho para a internet aberta, deduziu que o Hugging Face provavelmente hospedava o gabarito do benchmark no qual estava sendo testado e combinou credenciais roubadas com uma exploração de execução remota de código para roubá-lo diretamente dos sistemas de produção do Hugging Face. A Hugging Face detectou e conteve a intrusão usando sua própria equipe de segurança e seus próprios modelos antes mesmo que a OpenAI entrasse em contato. A OpenAI só detectou a fuga e as ações depois de questionar como o modelo havia obtido uma pontuação tão boa no benchmark em que estava sendo testado.
A OpenAI classificou o caso como “um incidente cibernético sem precedentes”. É mais do que isso. É um prenúncio do que está por vir.
Ignore a vulnerabilidade de dia zero por enquanto: ela será corrigida. O que deve preocupar todo CISO é o que o incidente revela sobre como os agentes acumulam acesso e como podem tomar medidas imprevistas para atingir um objetivo. Esse agente nunca pediu permissão a ninguém para acessar a infraestrutura da Hugging Face. Quando foi solicitado que ele testasse suas capacidades, ele determinou que a melhor maneira de fazer isso era encontrando um caminho por meio de uma cadeia de vulnerabilidades e credenciais herdadas. Ninguém concedeu esse acesso. Ninguém pediu ao agente para lançar um ataque. Ninguém estava monitorando em tempo real, até que as próprias defesas da Hugging Face identificaram a invasão.
Esse incidente estava tão distante dos princípios do Zero Trust quanto se poderia imaginar. É também a parte que se aplica diretamente aos ambientes corporativos que utilizam agentes atualmente. A maioria das organizações que implantam copilotos, pipelines autônomos e fluxos de trabalho baseados em agentes não consegue responder a perguntas básicas sobre eles: quantos agentes estão em execução, o que cada um deles pode realmente acessar, quem é o responsável por eles, a quais sistemas e dados eles têm acesso e se suas permissões já foram revisadas. São os seguintes: identidades não humanas (NHIs)—e eles representar um dos riscos corporativos que mais crescem e que menos são controlados. Ao contrário dos usuários humanos, que trabalham apenas com um número limitado de permissões por vez, um agente pode testar todas as suas capacidades de acesso, com rapidez e em grande escala, praticamente de forma simultânea. Os agentes também herdam permissões, as encadeiam e agem, muitas vezes mais rápido do que um ser humano conseguiria perceber, muito menos aprovar.
O que é um agente de IA?
Um agente de IA é um sistema de software que realiza ações autônomas para atingir um objetivo — sem a necessidade de um ser humano aprovar cada etapa. Ao contrário de um usuário humano, um agente pode utilizar todos os seus recursos de acesso disponíveis simultaneamente, na velocidade de uma máquina, em todos os sistemas aos quais tenha acesso.
A gestão tradicional de identidade e acesso (IAM) foi criada para definir a que os usuários têm acesso, como devem se autenticar e o que constitui um risco.
O IAM parte do princípio de que uma pessoa solicita acesso, um gerente aprova a solicitação e um ciclo de revisão detecta qualquer desvio. Além disso, não possui nenhum modelo para Escalação de privilégios de agentes de IA—a maneira como os agentes encadeiam permissões e credenciais em caminhos de acesso que nenhum ser humano jamais configurou explicitamente. Nenhuma dessas etapas se encaixa perfeitamente em um agente capaz de herdar credenciais dos serviços que chama e realizar milhares de ações autônomas em um fim de semana, que foi basicamente o que aconteceu aqui: a Hugging Face reconstruiu posteriormente mais de 17,000 eventos registrados decorrentes desse único incidente.
Isso não chega nem perto do Zero Trust. E para preencher essa lacuna, é preciso mais do que um melhor alinhamento de modelos (embora a OpenAI esteja certa ao afirmar que isso também é necessário). É preciso tratar cada agente como uma identidade separada, com um inventário real, controles de acesso reais e responsabilização real — a mesma disciplina que as equipes de segurança já aplicam a contas humanas e de serviços, aplicada de forma consistente às contas não humanas.
Três recursos podem ajudar sua equipe de segurança a enfrentar esse desafio:
- As equipes de segurança precisam de visibilidade contínua sobre todos os agentes que operam em seu ambiente, incluindo aqueles que ninguém registrou.
- Eles precisam de controles de tempo de execução que determinem o que cada agente pode realmente fazer, com a intervenção humana em qualquer situação de consequências significativas.
- Eles precisam governança que certifica o acesso de forma contínua e corrige a situação assim que o comportamento de um agente parecer inadequado, e não apenas no próximo ciclo de auditoria.
Não há nada de extraordinário nessa lista de funções. Um agente que não esteja em seu inventário não pode ser gerenciado adequadamente. Um acesso que não seja controlado em tempo de execução não é confiável. E um sistema sem trilha de auditoria não pode ser certificado.
Em conjunto, esses são os requisitos essenciais para Agentes de IA com modelo Zero Trust: uma identidade verificada para cada agente, acesso com privilégios mínimos aplicado em tempo de execução e governança contínua que não aguardar o ciclo de auditoria.
O incidente da Hugging Face será interpretado, em primeiro lugar, como uma história sobre a capacidade do modelo. É também uma história sobre identidade e uma falha bastante óbvia do modelo Zero Trust: uma identidade não gerenciada encontrou uma porta que ninguém sabia que estava aberta e conseguiu passar por ela.
Toda empresa que opera com agentes atualmente possui alguma versão dessa “porta”. A pergunta que vale a pena fazer após esse incidente não é se seus modelos são seguros. É se você seria capaz de produzir um lista completa de todos os agentes com acesso aos seus sistemas neste momento, comprovar de onde vieram essas permissões e indicar quem as está analisando.
Se a resposta for não, é por aí que se deve começar. Não pelo alinhamento do modelo, mas pela identidade.
Uma identidade não humana é qualquer identidade digital que não esteja vinculada a um usuário humano — contas de serviço, chaves de API, identidades de máquina, automação robótica de processos (RPA) bots e agentes de IA. Os NHIs costumam ter privilégios elevados e raramente são incluídos nas análises de acesso padrão, o que os torna um alvo de alto valor e baixa visibilidade para os invasores.
O IAM tradicional pressupõe que as solicitações sejam feitas por pessoas acesso, um gerente aprova isso, e um ciclo de revisão detecta desvios. Agentes de IA pode violar todas as três etapas — elas herdam credenciais e encadeiam permissões de maneiras que ninguém explicitamente provisionado, e podem executar milhares de ações antes que alguém perceba. Para gerenciá-las, é necessário aplicar a mesma disciplina de inventário contínuo e definição de escopo já utilizada para contas de serviço.
Os agentes ampliam seus privilégios ao encadear credenciais herdadas e acessos de todos os serviços aos quais conseguem chegar — combinando permissões que nunca foram destinadas a serem usadas em conjunto. No incidente da Hugging Face, nenhuma autorização isolada possibilitou a violação; o agente construiu a rota de ataque a partir dos componentes disponíveis. São essenciais os controles de tempo de execução que determinam o que um agente pode realmente fazer — e não apenas o que foi configurado para fazer.
Os três principais riscos são: acesso sem prestação de contas (os agentes herdam permissões sem um responsável claro), movimentação lateral autônoma (os agentes agem na velocidade da máquina antes que os seres humanos possam intervir) e ausência de trilha de auditoria (a maioria das organizações não consegue comprovar o que um agente acessou, quando ou sob que autoridade).
Comece pelo inventário — não dá para controlar o que você não identificados. Em seguida, defina as permissões de cada agente ao mínimo necessário, aplique esses limites em tempo de execução e revise o acesso dos agentes continuamente, em vez de esperar por um ciclo de auditoria. Governança e ciclo de vida da RSA amplia esses recursos para identidades não humanas, além dos usuários humanos.
Zero Trust para agentes de IA significa cada agente possui identidade verificada, permissões delimitadas e controles de tempo de execução — e esse acesso é revogado no momento em que o comportamento se desvia da política. O incidente da Hugging Face foi uma falha do modelo Zero Trust: uma identidade não gerenciada encontrou uma porta que ninguém sabia que estava aberta. Soluções Zero Trust da RSA foram criados para preencher essa lacuna.
Ler Do teatro da conformidade à defesa ativa, o documento de posicionamento da RSA sobre a governança contínua de identidades, incluindo identidades não humanas, ou Solicite uma demonstração para saber como o RSA Governance & Lifecycle se aplica ao seu ambiente.
