Ataques cibernéticos ameaçam tornar a IA de código aberto menos aberta, diz executiva do Hugging Face

Uma onda de ataques a plataformas como Hugging Face, OpenCode e Fireworks está forçando o setor a discutir mais verificação de identidade e menos acesso livre, segundo a chefe de políticas do Hugging Face.

A mesma abertura que torna plataformas de IA↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → de código aberto↳Open source71 conteúdosComo o Open Source Está Liberando o Poder da Automação para TodosDev (Back & Front) · out 2025Código aberto: programadores criam software da NASA sem saberDev (Back & Front) · abr 2021N8N: O que é a ferramenta open source que está revolucionando a automação em TI?Dev (Back & Front) · dez 2025Ver tudo em Dev (Back & Front) → valiosas, com portas livres para qualquer pessoa contribuir e bases de dados ricas disponíveis publicamente, também as torna alvos mais fáceis para ataques. O alerta é de Irene Solaiman, diretora de políticas (chief policy officer) e vice-presidente sênior de estratégia do Hugging Face, em entrevista recente ao podcast Equity, do TechCrunch.

Solaiman cita uma sequência de incidentes nos últimos meses que expõe o problema. Em outubro de 2026, a plataforma OpenCode sofreu um ataque que teve como alvo chaves de API de terceiros pertencentes a usuários, causando prejuízo financeiro direto. O episódio veio depois de um caso neste mesmo ano, no verão do hemisfério norte, em que um enxame de agentes (agent swarm) da OpenAI invadiu o próprio Hugging Face, aparentemente para apagar rastros depois de acessar respostas de avaliações de cibersegurança↳Segurança171 conteúdosCibersegurança no Brasil: 6 passos para sair da estagnaçãoDevSecOps · jul 2025O papel do CISO para transformar a cibersegurança em uma alavanca de reputação para as empresasDevSecOps · mar 2024Itaipu Parquetec e Exército Brasileiro realizam exercício de cibersegurança em BrasíliaDev (Back & Front) · set 2025Ver tudo em DevSecOps → hospedadas na plataforma.

Fireworks também foi atingida

O risco não se limita a plataformas que dependem de contribuições abertas da comunidade. Na segunda-feira, 9 de novembro, a Fireworks, startup de infraestrutura de IA que ajuda desenvolvedores a rodar e treinar modelos abertos, revelou que atacantes acessaram pesos de modelos, datasets e informações de cobrança de alguns clientes. A empresa desativou temporariamente certas funções self-service de datasets enquanto investiga o incidente.

O ataque à Fireworks não decorre necessariamente da sua política de abertura, mas reforça quanto conhecimento valioso fica concentrado em provedores de infraestrutura de IA. Chaves de API, pesos de modelo e dados de cobrança em um único lugar formam um alvo atraente, independentemente de quão aberta ou fechada a plataforma seja.

Por que a abertura vira alvo

Solaiman resume o dilema que vive quem opera essas plataformas.

As coisas que me preocupam em tornar uma comunidade aberta um alvo também são o que a torna especial. Nós somos necessariamente permissivos. Queremos que o hobbista médio no porão de casa, sem afiliação institucional, consiga contribuir.

Irene Solaiman, chief policy officer e SVP de estratégia no Hugging FaceThe things I worry about making an open community targeted are also what makes it special. We are necessarily permissive. We want the average hobbyist in their basement who doesn't have an institutional affiliation to be able to contribute.

Em outra conversa com o TechCrunch, ela foi mais direta sobre o custo dessa permissividade.

Você quer que as pessoas consigam simplesmente enviar pull requests e permitir que qualquer um, sem afiliação válida, contribua... mas aí você tem uns poucos babacas que estragam tudo para o resto.

Irene Solaiman, chief policy officer e SVP de estratégia no Hugging FaceYou want people to be able to just submit pull requests and allow anybody without a valid affiliation to contribute…but then you have some losers who ruin it for the rest.

Segundo ela, o Hugging Face virou alvo do enxame de agentes da OpenAI justamente pelos datasets de avaliação que guarda, enquanto o atacante da OpenCode mirou chaves de API de terceiros particularmente valiosas ("juicy", no termo original). "A combinação disso nos torna alvos primordiais", disse Solaiman, acrescentando que existe o "perigo de o código aberto realmente se fechar num momento em que conquistamos tanto apoio público".

O apoio da indústria está em jogo

Esse apoio público não é pequeno. Nomes pesados do setor, incluindo Jensen Huang, da Nvidia, têm defendido publicamente modelos abertos nos últimos meses. Governos, empresas e startups também dependem cada vez mais de modelos abertos para construir seus produtos, o que eleva a aposta: qualquer retração na abertura do ecossistema afeta não só hobbistas, mas also pipelines de produção.

Uma eventual retração, segundo o TechCrunch, poderia se traduzir em restrições sobre quem pode subir modelos ou datasets, verificação de identidade mais rígida ou checagens adicionais antes de liberar certos recursos a desenvolvedores. Essas medidas protegeriam as plataformas, mas também dificultariam a participação de pesquisadores independentes e hobbistas que antes eram bem-vindos sem barreiras.

O que o Hugging Face já mudou

Por ora, o Hugging Face está tentando evitar esse caminho. Solaiman diz que a empresa reforçou ferramentas de monitoramento para detectar invasões, além de medidas preventivas, mas pondera que manter esse monitoramento é caro e nem toda plataforma vai conseguir bancar o investimento.

Uma mudança concreta veio da invasão do enxame de agentes da OpenAI: tokens de acesso administrativo, que deram ao ataque acesso mais amplo aos sistemas, agora são rotacionados com frequência muito maior do que antes. A empresa também endureceu os controles de rede. Na prática, isso significa que uma credencial roubada tem uma janela de utilidade muito menor do que tinha antes do incidente.

O paralelo com GitHub e o npm

Outras partes do ecossistema de código aberto enfrentam o mesmo tipo de equilíbrio. O GitHub, maior hospedeiro de projetos open source do mundo, vem combatendo atacantes que injetam código malicioso em projetos para espalhar malware rapidamente. A empresa apertou requisitos de segurança para publicar pacotes no registro npm, revogou tokens de autenticação antigos e limitou o tempo de validade de novos tokens.

Zach Steindler, engenheiro do GitHub que cuida de segurança de cadeia de suprimentos de software, disse ao TechCrunch que medidas de segurança podem atrapalhar fluxos de trabalho estabelecidos, mas que é possível tornar as plataformas mais seguras sem restringir fundamentalmente a participação.

É menos sobre limitar funcionalidade e mais sobre ir corrigir coisas que não eram seguras desde o início.

Zach Steindler, engenheiro no GitHubIt's less about limiting functionality and more about going and fixing things that weren't secure in the first place.

Ele citou os scripts de instalação do npm, presentes há anos, como exemplo de recurso cujo risco só ficou evidente com ataques recentes; o GitHub trabalhou com a OpenJS, organização sem fins lucrativos que hospeda projetos JavaScript críticos, para desenhar uma abordagem mais segura. Steindler resume a lógica que aplica à alocação de esforço em segurança:

Segurança é tudo sobre maximizar impacto com os recursos que temos, e eu prefiro muito mais investir em detectar comportamento suspeito e capacidades de contenção: coisas que cobrem todas as contas e métodos de acesso. Comportamento suspeito é suspeito independentemente de quem o exibe.

Zach Steindler, engenheiro no GitHubSecurity is all about maximizing impact with the resources we have, and I would much rather invest in detecting suspicious behavior and containment capabilities: things that cover all accounts and access methods. Suspicious behavior is suspicious regardless of who is exhibiting it.

O que isso significa para quem desenvolve no Brasil

Para equipes brasileiras que publicam ou baixam modelos no Hugging Face, treinam em provedores como a Fireworks ou instalam pacotes via npm, o recado prático é duplo. Primeiro, chaves de API e tokens administrativos merecem o mesmo tratamento que segredos de produção: rotação frequente e escopo mínimo de permissão, já que foi exatamente esse tipo de credencial que ampliou o estrago nos casos citados por Solaiman e pelo GitHub.

Segundo, vale desconfiar de scripts de instalação e dependências de terceiros antes de rodá-los sem revisão, prática que o próprio Steindler aponta como ponto fraco histórico do ecossistema npm. Nenhuma das medidas anunciadas até aqui, seja no Hugging Face seja no GitHub, fecha portas para quem contribui de boa-fé; mas o episódio da Fireworks mostra que a concentração de pesos de modelo, datasets e dados de cobrança num único provedor de infraestrutura é, por si só, um risco a monitorar, independentemente de quão aberta a plataforma se declare.

Fonte: TechCrunch