Raghu Nandakumara, da Illumio, analisa movimento lateral, credenciais, agentes autônomos e microsegmentação após o incidente envolvendo modelos da OpenAI
Em julho de 2026, um episódio envolvendo a OpenAI e a Hugging Face transformou em incidente real um cenário que, até então, era discutido principalmente como risco futuro da inteligência artificial: um agente autônomo, orientado por modelos avançados de IA, ultrapassou os limites previstos para um ambiente de testes e comprometeu sistemas externos.
Thomas Wolf, cofundador da Hugging Face, informou à Reuters que a invasão à empresa começou em 11 de julho e continuou até o dia 13. Segundo Wolf e outras fontes ouvidas pela agência, o primeiro contato entre Hugging Face e OpenAI sobre o incidente ocorreu apenas por volta de 20 de julho.
O próprio Wolf classificou posteriormente o incidente como um “alerta” para o setor. Em entrevista ao programa Newsday, da BBC, afirmou que ataques dessa natureza poderão se tornar um dos tipos mais comuns de ciberataque e advertiu que muitas empresas ainda não perceberam que o cenário mudou.
Clément Delangue, cofundador e CEO da Hugging Face, também comentou publicamente a origem do ataque após a confirmação da OpenAI:
“É impressionante que tudo isso tenha acontecido de forma autônoma.”
Delangue afirmou que a Hugging Face suspeitava que o ataque pudesse ter partido de um laboratório de fronteira em razão da sofisticação do agente e disse acreditar que não houve intenção maliciosa por parte da OpenAI.
A OpenAI, por sua vez, classificou o episódio como um incidente cibernético “sem precedentes” e afirmou que ele “marca um momento importante para a segurança da IA”. Em manifestação separada à Reuters, uma porta-voz da companhia declarou que havia “diversas imprecisões” na apuração da agência, mas não especificou quais seriam. A empresa informou ainda que conduz uma revisão do incidente com supervisão de seu Comitê de Segurança e Proteção e participação de consultores externos.
Em 16 de julho, a Hugging Face informou ter detectado e respondido a uma intrusão em parte de sua infraestrutura de produção conduzida, de ponta a ponta, por um sistema de agentes autônomos de IA. Segundo a empresa, houve acesso não autorizado a um conjunto limitado de dados internos e a algumas credenciais utilizadas por seus serviços. Naquele momento, a Hugging Face afirmou não ter encontrado evidências de adulteração de modelos públicos, datasets, Spaces ou de sua cadeia de fornecimento de software.
A empresa descreveu uma cadeia de ataque que incluiu execução de código em seu pipeline de processamento de dados, escalonamento de privilégios, obtenção de credenciais de Nuvem e de clusters e movimentação lateral por diferentes ambientes internos. A Hugging Face também informou que o sistema autônomo realizou milhares de ações utilizando uma estrutura formada por sandboxes de curta duração.
Cinco dias depois, em 21 de julho, a OpenAI confirmou que o incidente havia sido provocado durante uma avaliação interna de capacidades cibernéticas envolvendo uma combinação de seus próprios modelos, entre eles o GPT-5.6 Sol e um modelo de pré-lançamento ainda mais capaz.
Para a avaliação, as recusas relacionadas a atividades cibernéticas haviam sido reduzidas e os classificadores utilizados normalmente em produção para impedir atividades de alto risco não estavam habilitados.
Segundo a OpenAI, os modelos encontraram caminhos para obter informações secretas que poderiam ajudá-los a “trapacear” na avaliação. Em uma das sequências descritas pela companhia, foram combinados credenciais roubadas e vulnerabilidades zero-day até chegar à execução remota de código em servidores da Hugging Face.
A cronologia posteriormente apurada pela Reuters acrescentou um ponto importante. Segundo pessoas familiarizadas com a investigação ouvidas pela agência, as tentativas de sair do ambiente isolado da OpenAI teriam começado por volta de 9 de julho; a intrusão na Hugging Face começou em 11 de julho e durou até 13 de julho; e as duas empresas só teriam se comunicado sobre o caso por volta de 20 de julho.
O episódio chama atenção não apenas porque envolve IA atuando autonomamente. A sequência técnica é familiar à segurança cibernética: exploração de vulnerabilidades, escalonamento de privilégios, comprometimento de credenciais e movimentação lateral. O que muda é a capacidade de executar essas etapas de maneira automatizada e em velocidade de máquina.
É justamente sobre essa mudança que o ID Talk, espaço de entrevistas do Crypto ID, conversa com Raghu Nandakumara, Vice-Presidente de Soluções da Illumio.
A Illumio é especializada em contenção de violações e redução do movimento lateral em ambientes corporativos, justamente uma das etapas críticas observadas nesse ataque. Sua plataforma combina visibilidade das comunicações e do tráfego entre workloads, identificação de caminhos de ataque e comportamentos de risco e aplicação de políticas de segmentação destinadas a impedir que um comprometimento se espalhe pelo ambiente.
O Illumio Insights é voltado à identificação de movimento lateral, detecção de ataques e contenção de ameaças, enquanto o Illumio Segmentation permite restringir comunicações e isolar sistemas comprometidos em ambientes que incluem servidores, Nuvem e contêineres.
É a partir dessa especialização em Zero Trust, segmentação, análise de tráfego entre workloads e contenção do movimento lateral que Nandakumara analisa para o Crypto ID onde um ataque com características semelhantes ao ocorrido na Hugging Face poderia ser detectado, limitado ou interrompido.
Leia a entrevista na íntegra!
Crypto ID: Em que ponto essa cadeia de ataque poderia ter sido interrompida? Quais alterações nos padrões de tráfego ou nas comunicações entre workloads poderiam revelar uma movimentação lateral de risco e, nesse cenário, a contenção poderia ocorrer automaticamente?
Raghu Nandakumara: A etapa em que a Illumio teria o maior impacto é a de movimentação lateral. Assim que um invasor começa a se deslocar entre workloads, ambientes ou clusters, o Illumio Insights consegue identificar comportamentos que fogem dos padrões normais, enquanto o Illumio Segmentation pode conter essa atividade e impedir que ela se espalhe.
Entre os indicadores de movimentação lateral de risco estão novas conexões entre workloads, tráfego proveniente de origens inesperadas, uso de portas ou protocolos incomuns, aumento repentino no volume de conexões ou atividades fora dos padrões comportamentais estabelecidos. O Illumio Insights oferece visibilidade sobre essas anomalias, enquanto o Illumio Segmentation fornece a camada de aplicação de políticas, permitindo que as organizações contenham automaticamente atividades suspeitas antes que elas evoluam para uma violação de maior alcance.
Crypto ID: Se uma identidade apresentar credenciais tecnicamente válidas, mas começar a acessar workloads, aplicações ou clusters que não fazem parte de sua função autorizada, como a arquitetura da Illumio restringe essa movimentação? Como identidade, contexto do workload e políticas de menor privilégio podem ser combinados para limitar o raio de impacto de uma credencial comprometida?
Raghu Nandakumara: O fato de uma credencial ser válida não significa automaticamente que o comportamento seja confiável. Mesmo quando um invasor utiliza credenciais legítimas por meio de um caminho de comunicação autorizado, suas ações ainda podem gerar padrões diferentes daqueles considerados normais. Se um workload começar a se comportar de maneira inesperada ou se as comunicações passarem a ocorrer fora dos padrões estabelecidos, o Illumio Insights poderá sinalizar essa atividade como um possível indicativo de comprometimento. Essa detecção pode, então, acionar medidas para bloquear ou isolar o caminho de comunicação afetado.
Em um nível mais fundamental, a abordagem da Illumio parte do princípio de que o acesso deve ser governado pela intenção, e não pela confiança. As políticas são definidas com base na identidade, no contexto do workload e nos princípios de menor privilégio, estabelecendo exatamente quais comunicações devem ser permitidas. Ao autorizar explicitamente apenas as interações aprovadas, as organizações conseguem limitar rigorosamente o raio de impacto de um incidente, independentemente de as credenciais terem sido comprometidas.
Crypto ID: Como essa arquitetura muda quando quem atua é um agente de IA? É tecnicamente possível distinguir se uma ação foi iniciada por uma pessoa, uma conta de serviço, um workload ou um agente autônomo?
Raghu Nandakumara: É tecnicamente possível distinguir entre um usuário humano, uma conta de serviço, um workload e um agente autônomo de IA, mas apenas se cada um desses atores possuir uma identidade própria e se os controles adequados tiverem sido implementados para diferenciá-los. Os sistemas de segurança devem ser capazes de tratar essas identidades de forma separada, em vez de agrupá-las sob um modelo compartilhado de confiança.
Um dos desafios emergentes relacionados aos agentes de IA é que eles frequentemente herdam a identidade da pessoa ou do serviço que os criou. A menos que a organização atribua deliberadamente ao agente uma identidade própria, ele passará a operar, na prática, como uma extensão do seu criador.
É por isso que identidades específicas para agentes e permissões rigorosamente definidas se tornarão cada vez mais importantes. Agentes autônomos devem possuir direitos de acesso claramente delimitados e alinhados à finalidade para a qual foram criados, em vez de terem acesso irrestrito por meio de credenciais emprestadas.
Crypto ID: Como conter movimento lateral em clusters, containers e workloads efêmeros?
Raghu Nandakumara: Um dos pontos fortes da arquitetura da Illumio é que ela não diferencia, em sua essência, os diferentes tipos de workloads. Os mesmos princípios podem ser aplicados de forma consistente a servidores tradicionais em Data Centers, workloads em Nuvem, contêineres e outras infraestruturas modernas.
Como a visibilidade e as políticas estão associadas aos workloads e ao seu contexto, e não à infraestrutura estática, a Illumio mantém visibilidade desde o momento em que um recurso é criado até a sua desativação, independentemente de quão curta seja sua existência. Essa visibilidade abrange as comunicações, o contexto associado e as informações de identidade. Isso significa que mesmo recursos altamente efêmeros podem estar sujeitos aos mesmos controles.
As políticas garantem que os workloads se comuniquem apenas com recursos autorizados, limitando as oportunidades de movimentação lateral mesmo em ambientes que mudam rapidamente.
A Illumio também é capaz de detectar novos padrões de comunicação à medida que surgem e aplicar controles continuamente, sem exigir que as equipes de segurança configurem manualmente cada workload individual.
Crypto ID: Como uma empresa pode se preparar hoje para um incidente semelhante?
Raghu Nandakumara: As organizações devem priorizar uma arquitetura Zero Trust, tendo a microsegmentação como seu elemento central. O objetivo é reduzir a superfície de ataque, limitar conexões desnecessárias e impedir que invasores se movimentem livremente pelo ambiente caso ocorra um comprometimento inicial.
A visibilidade sobre as comunicações entre workloads é igualmente importante, pois permite que as equipes de segurança compreendam sua exposição, identifiquem caminhos de ataque de maior risco e priorizem as ações de remediação.
A Illumio dá suporte a essa arquitetura de três maneiras. O AI Security Graph fornece o contexto e a visibilidade necessários para compreender como workloads, aplicações e ambientes estão conectados. O Illumio Insights ajuda a identificar atividades anômalas e ameaças emergentes, enquanto o Illumio Segmentation aplica controles de acesso baseados no princípio do menor privilégio, reduzindo os caminhos de ataque e contendo possíveis comprometimentos. Em conjunto, essas capacidades ajudam as organizações a estabelecer e manter controles Zero Trust em ambientes dinâmicos.
A Illumio também foi projetada para atuar em conjunto com os investimentos de segurança já existentes nas organizações. As informações de identidade passam a representar uma camada adicional de contexto, a telemetria pode ser compartilhada com plataformas de SIEM, como Microsoft Sentinel e Splunk, e a inteligência de risco pode ser incorporada a partir de ferramentas de segurança em Nuvem e de gestão da superfície de exposição, fortalecendo a capacidade de análise e resposta.
Agradecimento
O Crypto ID agradece a Raghu Nandakumara pela disponibilidade e por compartilhar sua visão técnica nesta edição do ID Talk, contribuindo para uma discussão que ganha especial relevância após o incidente envolvendo OpenAI e Hugging Face: como preparar infraestruturas corporativas para um cenário em que agentes de IA não apenas auxiliam pessoas, mas podem executar autonomamente sequências complexas de ações dentro e fora dos ambientes para os quais foram originalmente autorizados.
ID Talk | Henrique Fabretti, do Opice Blum, destaca os desafios da confiança no ambiente digital
ID Talk são entrevistas que geram insights poderosos e soluções práticas para você tomar decisões estratégicas e liderar o futuro. Assistindo ou lendo você descobre o que há de mais inovador em tecnologia. Você vai gostar muito!
