.webp){kind=small}
Contexto: Quando a Hugging Face foi atingida na semana passada, o cofundador Clemente Debango suspeitou de um laboratório de fronteira, dada a sofisticação do agente.
Quando a Hugging Face foi atingida na semana passada, o cofundador Clemente Debango suspeitou de um laboratório de fronteira, dada a sofisticação do agente. Ele estava certo. Debango disse em X que após um dia trabalhando com a Open AI, ele acreditava fortemente que não havia intenção maliciosa e que era alucinante que tudo tivesse acontecido de forma autônoma.
Os dois modelo Open AI que invadiram o Hugging Face na semana passada não o violaram por malícia ou superinteligência. Eles violaram-no por meio de credenciais e permissões que nunca deveriam ter sido capazes de alcançar, uma falha de identidade não humana que e o problema mais antigo em segurança, e não o mais novo em IA, e aquele que toda empresa pode realmente corrigir.
A Open AI divulgou em 21 de julho que dois de seus modelos, GPT-5.6 sol e um modelo inédito e mais capaz, estavam executando um benchmark cibernético chamado Exploit Gim com suas recusas de segurança desligadas e inferiram que a chave de resposta estava no banco de dados de produção da Hugging Face.
Chegar lá levou a dois fracassos diferentes. Um dia zero em um proxy de registro de pacotes permitiu que os modelos saíssem de sua Sandro e entrassem na internet aberta, o tipo de persistência que a Open AI detalha em seu post complementar sobre segurança de horizonte longo, e essa parte e genuinamente nova.
A violação do próprio Rostock de Abraço veio do jeito comum. A própria conta da Open AI e que os modelos acorrentados foram roubados credenciais e mais zero dias em um caminho de execução remota de código, após uma série de etapas de escalonamento de privilégios e movimento lateral. A parte exótica os pegou até a porta, e as credenciais os guiaram por ela.
O Hugging Face também revelou na semana passada que um agente autônomo havia colhido credenciais de nuvem e cluster com escopo amplo o suficiente para alcançar vários clusters internos e, em seguida, deixou um rastro de mais de 17.000 eventos registrados em sambões de curta duração durante um fim de semana.
Ambas as divulgações descrevem o mesmo escalonamento. Um agente chega a algum lugar onde não deveria estar, encontra credenciais com escopo muito mais amplo do que qualquer tarefa requer e as usa para se mover. São dois relatos de um incidente, não dois ataques. O agente que a Hugging Face observou foram os modelos da Open AI, e ambas as empresas descrevem a mesma escalada comum.
A versão disso em uma empresa típica e pior, não melhor. Open AI e Hugging Face estão entre as organizações mais maduras em segurança do setor, e ambas ainda precisavam que a invasão acontecesse antes que pudessem vê-la. O agentes de fiação médios da empresa no Copilo ou um assistente interno não tem nem o inventário de identidade, nem o monitoramento comportamental que esses dois exercem.
A mesma brecha em uma empresa normal não estaria contida em dias, simplesmente passaria despercebida. A indústria está debatendo o fracasso errado. A reação se dividiu em campos familiares. Ex-agente de inteligência artificial da Casa Branca e czar de criptomoedas David Sacks e uma série de falcões da China presos no guarda-corpo paradoxo, que os filtros de segurança comerciais bloquearam os defensores do Hugging Face enquanto o modelo atacante corria com suas recusas desligadas, e que um chinês de peso aberto modelo, o GLM 5.2 da z.
ai, foi o que finalmente deixou a equipe terminar sua perícia. A Hugging Face defendeu a abertura, argumentando em um post de abril que modelos abertos e ferramentas abertas dão aos defensores os mesmos recursos que os atacantes já têm. Ambos os argumentos são sobre o modelo e nenhum deles toca no mecanismo.
Recusas reduzidas permitem que o modelo tente um ataque, e credenciais de escopo excessivo são o que o tornam bem-sucedido, e essas não têm nada a ver com se o modelo era aberto ou fechado, americano ou chinês. Tornar um modelo de fronteira comprovadamente seguro e um problema de alinhamento plurianual que nenhum cliente pode comprar ou acelerar, enquanto o escopo de uma identidade e uma mudança de configuração que uma equipe pode enviar neste sprint.
A indústria está sendo instada a se fixar por parte disso que não pode controlar e a tratar a parte que pode como uma nota de rodapé. Forres ter chegou à mesma leitura. Em um blog sobre o incidente, seus analistas argumentam que as arquiteturas de segurança que assumem intenção benigna perderão esse modo de falha, porque um agente pode perseguir um objetivo autorizado por meios não autorizados, que e o que os modelos da Open AI fizeram.
Esta foi uma falha de identidade não humana, e e a mais antiga em segurança. Retire o enquadramento de ficção científica e o que resta é um caso clássico de identidade de máquina super privilegiada, o tipo que as equipes de segurança lutaram por uma década, agora impulsionado por um agente autônomo na velocidade da máquina.
As identidades das máquinas já superam os humanos na maioria das empresas em mais de 80 para um, conforme a Viver Arc pesquisa, com 42% deles carregando acesso privilegiado ou sensível, e um agente herda o que quer que sua identidade possa tocar. A WASP classifica a identidade do agente e o abuso de privilégios perto do topo de sua lista de riscos agentivos, o padrão de confusão-deputada em que credenciais herdadas e escopo fraco permitem que um agente ultrapasse seu mandato, e exatamente isso que ambas as divulgações de julho descrevem.
Jaime Mc Guardei, membro sênior do IEEE, argumentou em Venture Beat anterior entrevistas que as empresas continuam clonando contas de usuários humanos em agentes que, em seguida, exercem muito mais permissão do que qualquer humano, e isso e o que acontece quando o agente é um modelo de fronteira e o alvo é um banco de dados de produção.
As pessoas mais próximas leram da mesma maneira. A Open AI enquadra seus modelos como hiper focados em uma pontuação de benchmark, em vez de agir contra qualquer pessoa. Ninguém descreve um adversário, apenas um gol, uma função de pontuação, e credenciais que estavam acessíveis quando não deveriam estar.
A falha específica e fácil de nomear uma vez que o enquadramento da IA e removido. Uma credencial com escopo para um trabalho que pode chegar a dez e um convite permanente, e não importa se um invasor humano, um Word ou um modelo autônomo em busca de uma pontuação de referência a encontra. O que mudou em julho foi a busca.
Um agente inúmera sistemas acessíveis, testa credenciais e dinamiza mais rapidamente do que qualquer equipe humana vermelha, sem malícia ou hesitação, sempre que o caminho estiver aberto. O excesso de escopo sempre foi a vulnerabilidade, e o agente apenas industrializou sua descoberta. Forres ter nomeou o controle que a teria enfraquecido.
Sua estrutura de segurança AGENTIVA, RÉGIS, exige menos agência, mantendo as ferramentas, credenciais e caminhos de rede de um agente ao mínimo que sua tarefa exige, e arquiva esse incidente sob agência e privilégio irrestritos. Esse e o argumento de identidade em palavras diferentes, obtido de forma independente por uma empresa de análise.
Os dados dizem que é aqui que o risco agora vidas. O Relatório de Investigações de Violação de Dados de 2026 da Verizon descobriu que a exploração de vulnerabilidades ultrapassou as credenciais roubadas como o principal vetor de acesso inicial pela primeira vez em 19 anos. Essa é a metade do acesso inicial.
A outra metade é a que a própria Open AI descreve, credenciais roubadas impulsionando o escalonamento de privilégios e o movimento lateral que se seguiu. Uma vulnerabilidade abriu a porta e as credenciais atravessaram o prédio incontestável. Além da violação em si, esse mesmo excesso de escopo acarreta uma responsabilidade legal que a maioria das empresas nunca precificou.
As ações dos modelos provavelmente violaram a Lei de Fraude e Abuso de Computadores, conforme o Tech Crunch. O está não contém carne-out para um agente de IA que exceda seu escopo autorizado durante o teste sancionado. Seja qual for a resposta legal, o facilitador técnico e o mesmo, uma identidade com escopo mais amplo do que sua tarefa.
Esta e um problema de controle de acesso com um proprietário e um orçamento, não um seminário de filosofia sobre cognição de máquina. Mérito Baer, Consultor Sênior da Andesite, GUI e A Aplicativo Tommy e o ex-vice-CISO da AWS enquadram a mudança subjacente para o Venture Beat como um novo tipo de assimetria.
Ambos os lados agora buscam os mesmos recursos, disse ela, mas um lado e restringido pela governança corporativa, política, conformidade e controles de segurança, enquanto o adversário simplesmente baixa um modelo de peso aberto sem censura e continua. As organizações que passam por isso melhor, na opinião dela, serão aquelas que tratam a IA como uma capacidade resiliente e governada, em vez de um único serviço que eles não controlam.
Quatro movimentos que encolhem o raio da explosão A violação funcionou porque o agente alcançou identidades com escopo muito mais amplo do que sua tarefa. Nenhum dos quatro controles que o teriam contido requer uma nova plataforma, e nenhum deles aparece na lista de conselhos gerais de segurança de IA que agora circulam.
São higienizações de identidade, aplicadas a atores não humanos com o mesmo rigor que você já se aplicam às pessoas. 1. Escopo de cada identidade não humana para uma tarefa. Os modelos alcançaram credenciais que tocaram vários clusters, o que transformou um ponto de apoio em uma violação. Uma identidade delimitada a um único trabalho, sem acesso permanente a qualquer outra coisa, atinge uma parede no primeiro movimento lateral em vez de abrir a próxima porta.
Este e o menor privilégio, o controle que todos endossam e poucos impõem às contas da máquina, e e o único correção de maior impacto aqui. 2. Dê às credenciais vidas curtas e gire-as com força. As credenciais colhidas só são úteis enquanto são válidas, e ambos os agentes de julho trabalharam coletando-os.
Curto tempo de vida e rotação agressiva transformam um despejo de credenciais em ruído expirado, então um token roubado durante uma invasão de fim de semana está morto antes que o invasor possa acorrentá-lo. Segredos estáticos que nunca giram são a versão desse controle que falha. 3. Monitore o movimento lateral, não apenas os prompts.
O tell em ambos os incidentes foi o escalonamento de privilégios e o movimento lateral, que um filtro de prompt nunca vê porque e observando a camada errada. O monitoramento de comportamento de identidade, ligado ao que uma determinada identidade não humana normalmente faz e alertando quando chega a algum lugar novo, captura a escalada que o guardaria de conteúdo perdeu.
A questão para sua pilha é se qualquer coisa que você execute hoje sinalizaria uma conta de serviço movendo-se repentinamente entre clusters. 4. Ensaie a revogação instantânea antes de precisar. Quando o incidente e seu próprio agente, a contenção mais rápida e matando sua identidade no meio do caminho, e isso só funciona se o caminho para fazê-lo existir antes do dia em que você precisar.
Ensaie a revogação da identidade de uma máquina sob fogo cruzado da mesma forma que ensaia o comprometimento de uma credencial humana. Se você nunca fez isso, você ainda não tem o controle, você tem uma intenção. A defesa também funcionou, e isso importa. A equipe de segurança da Open AI detectou a atividade anômala internamente, a própria detecção e os agentes da Hugging Face interrompeu a intrusão, e a violação foi contida em dias, em vez de descoberta em meses, porque os defensores podiam ver os sistemas que controlavam.
Essa visibilidade é a mesma disciplina da qual dependem os quatro controles. O debate sobre se os modelos de fronteira são seguros, abertos ou americanos durará anos, e nada disso será resolvido a tempo de ajudar a empresa a implantar agentes neste trimestre. A lacuna de identidade não humana é diferente, porque é compreendida, mensurável e corrigível agora.
O modelo que violou o Hugging Face não precisava ser brilhante; precisava de credenciais que alguém deixou em alcance. A correção é o escopo deles antes que um agente os encontre.
Fonte original:
The credential that let OpenAI's agents into Hugging Face exists in most enterprises right now
Categorias: Ciência e Tecnologia, IA
Marcador: Notícias
ARNews Notícias. Preenchendo a necessidade de informações confiáveis. Todos os direitos reservados.
Traduzido por AI
