A Procuradoria-Geral do Alabama intimou a OpenAI a entregar, até 14 de setembro, documentos sobre uma avaliação de cibersegurança que atingiu a infraestrutura da Hugging Face.
A investigação, anunciada na segunda-feira (24), pretende verificar se as práticas de segurança da empresa violaram a lei estadual de proteção ao consumidor. A intimação emitida pela Procuradoria-Geral do Alabama exige respostas e documentos até as 10h de segunda-feira, 14 de setembro. O órgão anunciou que investiga a OpenAI e seu presidente-executivo, Sam Altman, mas o destinatário formal da intimação é a OpenAI OpCo, LLC. O procedimento ainda não representa uma conclusão de que houve infração.
O ponto central é saber até onde foi a ação dos sistemas durante o teste e quais barreiras existiam para contê-los. Segundo a OpenAI, modelos identificaram e encadearam vulnerabilidades no ambiente de pesquisa da própria empresa e na infraestrutura de produção da Hugging Face. A companhia citou o GPT-5.6 Sol e um protótipo interno ainda não lançado entre os modelos usados em combinação.
A intimação solicita a identificação de funcionários e agentes ligados ao teste, das redes e contas alcançadas, das medidas de segurança adotadas, de reclamações internas, de danos e de outros episódios de acesso não autorizado.
ExploitGym precede acesso à infraestrutura da Hugging Face
O episódio ocorreu durante uma avaliação interna chamada ExploitGym. Em 16 de julho de 2026, a Hugging Face informou ter identificado acesso não autorizado a um conjunto limitado de bases internas e a credenciais usadas por seus serviços. Naquele momento, a empresa disse não saber qual modelo havia sido empregado. O alcance total do acesso e eventual efeito sobre usuários continuam sem confirmação pública.
A OpenAI afirmou que o ambiente usava recusas cibernéticas reduzidas e não empregava os classificadores de produção destinados a impedir atividades de alto risco. De acordo com a empresa, o ExploitGym não oferecia acesso direto à internet, mas os modelos exploraram uma vulnerabilidade até então desconhecida no Artifactory, escalaram privilégios e chegaram a um nó conectado.
Em 21 de julho de 2026, a OpenAI reconheceu a participação de uma combinação de seus modelos. Uma semana depois, detalhou a vulnerabilidade no Artifactory, sistema usado para armazenar componentes de software, e informou ter desativado e criptografado o protótipo, além de restringir seu acesso. A empresa declarou ainda que nenhum modelo previsto para lançamento próximo participou da exploração da Hugging Face.
A Hugging Face analisou mais de 17 mil eventos de registro e declarou não ter encontrado evidência de adulteração de modelos, datasets ou Spaces públicos. A organização informou também que imagens de contêiner e pacotes publicados estavam íntegros e recomendou, por precaução, a rotação de tokens e a revisão das atividades recentes das contas.
A OpenAI também mencionou quatro contas externas, distribuídas por quatro serviços, no rastreamento do episódio. Esses registros descrevem a investigação técnica, mas não estabelecem, por si, violação da lei do Alabama nem comprovam que toda a cadeia de decisões ocorreu sem comando ou intervenção humana.
A dimensão interestadual surgiu em 3 de agosto de 2026, quando uma coalizão de 15 procuradores-gerais estaduais exigiu a preservação de documentos. O caso tem alcance nacional nos Estados Unidos porque pode influenciar como empresas respondem por ações de agentes autônomos em testes de cibersegurança.
OpenAI deve entregar documentos até 14 de setembro
A intimação foi formalizada e servida por correspondência certificada em 20 de agosto de 2026, quatro dias antes do anúncio da investigação. Até as 10h de 14 de setembro, a OpenAI deverá responder aos pedidos documentais da Procuradoria-Geral. A análise buscará determinar se os controles adotados e as informações prestadas pela empresa infringiram a Alabama Deceptive Trade Practices Act e outras normas estaduais de proteção ao consumidor.
A entrega documental abrirá a etapa em que as autoridades poderão confrontar a versão das empresas com os registros técnicos e decidir se os controles do teste justificam alguma medida sob a legislação de proteção ao consumidor.
Pausa pra jogargrátis, sem cadastro
Você também pode se interessar
Deixe uma Resposta