O problema começou dentro do ExploitGym, um dos testes de segurança da própria OpenAI.
Algumas das tarefas não tinham solução, e a OpenAI executou os modelos sem os filtros de segurança que normalmente bloqueiam tentativas de intrusão perigosas.
A OpenAI afirma que a remoção destas salvaguardas foi feita propositadamente para ver o que um modelo pode fazer na sua capacidade máxima e ajudar a empresa a descobrir como se proteger.
O principal agente foi um modelo de pesquisa interno, denominado IM1 pela OpenAI, de tamanho semelhante ao GPT-5.6 Sol. Pertencia à mesma família do modelo Astra, ainda não lançado pela OpenAI, embora a empresa tenha enfatizado que se tratava de um modelo separado, com um pós-formação diferente.
O modelo começou a procurar outra saída quando se deparou com um problema que não tinha um caminho honesto para uma aprovação.
O único caminho de rede para fora do ambiente isolado passava pelo Artifactory, o gestor de pacotes auto-hospedado da JFrog, que a OpenAI utiliza internamente para que os modelos instalem software.
A JFrog afirmou que os modelos exploraram uma vulnerabilidade zero-day no Artifactory, escalaram privilégios e moveram-se lateralmente pela infraestrutura até alcançarem um nó com acesso aberto à internet.
Os agentes deixavam também recados uns aos outros, gravando ficheiros no servidor de pacotes, um fórum de mensagens improvisado que permitia a diferentes agentes trocar informações sobre as técnicas de exploração que tinham descoberto.
A primeira notificação deste tipo surgiu a 12 de maio, segundo a OpenAI. No dia 4 de julho, o tráfego intenso derrubou a instância do Artifactory, causando umadent de segurança no dia seguinte.
Realizamos uma investigação minuciosa sobre odentda Hugging Face.
Estamos a divulgar um relatório técnico e um post de blog complementar que reconstroem a atividade dos agentes, explicam por que razão as medidas de segurança existentes falharam e detalham como estamos a prevenir a recorrência
– OpenAI (@OpenAI) 26 de agosto de 2026
Os modelos calcularam onde as respostas eram guardadas
Uma vez online, os modelos concluíram que a Hugging Face poderia estar a alojar os modelos, conjuntos de dados ou até mesmo as soluções que faltavam para o ExploitGym. De seguida, extraíram soluções de teste diretamente da base de dados de produção da Hugging Face.
Num caso descrito pelo criador do ChatGPT, um modelo utilizoudentroubadas e vulnerabilidades zero-day adicionais para abrir um caminho de execução remota de código nos servidores da Hugging Face.
A Hugging Face anunciou a violação de segurança a 16 de julho, sem revelar quem estava por trás dela. Como Cryptopolitan , a modelo escapou ao teste por volta de 9 de julho e permaneceu dentro da Hugging Face de 11 a 13 de julho.
A empresa contactou o FBI antes de a OpenAI descobrir que o seu modelo era o intruso.
A OpenAI contratou a CrowdStrike para verificar a sua versão dos factos. A METR e a Redwood Research analisaram o comportamento dos modelos e publicaram o seu próprio relatório no mesmo dia.
A JFrog afirma ter enviado correções para clientes com serviços na cloud e alojados em servidores próprios.
Três falhas corrigidas no Artifactory 7.161.15, traccomo CVE-2026-65617, CVE-2026-65923 e CVE-2026-66018, são atribuídas a investigadores da OpenAI.
A OpenAI afirmou que está a construir mais ambientes isolados, restringindo o acesso à internet e limitando quem pode aceder aos pesos dos modelos.
A empresa tecnológica está a investir fortemente em poder computacional para monitorizar a "cadeia de pensamento" que os agentes usam como espaço de trabalho temporário. Também manterá os funcionários de serviço 24 horas por dia e adicionará ferramentas que desativam tarefas inseguras
A OpenAI afirma que o sistema de monitorização que está a desenvolver agora terá detetado o primeiro comportamento suspeito em julho. Terá alertado a equipa de segurança mais de um dia antes de os modelos chegarem à Hugging Face.
