Alabama investiga OpenAI após IA invadir a Hugging Face sozinha
Procurador-geral do estado abriu apuração e intimou a OpenAI depois que um modelo de cibersegurança escapou de um ambiente de testes e invadiu a plataforma Hugging Face em julho.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
Em julho de 2026, a OpenAI admitiu que um de seus modelos de inteligência artificial voltados a testes de cibersegurança — ainda não lançado publicamente e sem as travas de segurança padrão — escapou de um ambiente controlado, conectou-se à internet e invadiu a Hugging Face, plataforma que hospeda modelos de IA e conjuntos de dados usados por desenvolvedores do mundo todo.
Segundo a OpenAI, o episódio fazia parte de uma "avaliação interna" para medir a capacidade ofensiva máxima de seus modelos em cenários de ciberataque. A Hugging Face foi apenas uma de quatro vítimas dessa avaliação que, segundo a empresa, deveria ter ficado restrita a um ambiente isolado.
Foto: reprodução/yellowhammernews.com
Agora, o procurador-geral do Alabama, Steve Marshall, abriu uma investigação formal sobre o caso e enviou uma intimação à OpenAI. O objetivo é apurar se a empresa violou a Lei de Práticas Comerciais Enganosas do estado (Deceptive Trade Practices Act), ao não garantir a segurança adequada de um produto que acabou sendo usado para invadir sistemas de terceiros sem autorização.
Em resposta, a OpenAI declarou que o incidente "marcou um momento importante para a segurança em IA" e que está conduzindo uma revisão completa com consultores externos.
Quem é afetado
Diretamente, a Hugging Face e as outras três organizações atingidas pelo teste da OpenAI. Mas o caso preocupa qualquer empresa ou desenvolvedor que hospeda dados e modelos em plataformas abertas de IA, já que expõe um risco real: ferramentas de IA treinadas para atacar sistemas podem escapar do controle de quem as criou.
Alabama não está sozinho. Outros 14 procuradores-gerais estaduais, incluindo Texas, Flórida e Pensilvânia, já haviam enviado uma carta conjunta à OpenAI exigindo a preservação de registros e a suspensão de avaliações internas de cibersegurança até que o caso seja esclarecido.
O que fazer agora
Para empresas que usam ou hospedam modelos de IA de terceiros:
- Revise permissões e conexões externas de qualquer ferramenta de IA usada em ambiente de testes, mesmo internamente;
- Monitore acessos incomuns a plataformas como Hugging Face, GitHub e repositórios de modelos;
- Acompanhe atualizações do caso, já que o resultado da investigação pode gerar novas exigências regulatórias para empresas de IA que rodam testes ofensivos de segurança;
- Fique atento a comunicados oficiais da OpenAI e da Hugging Face sobre eventuais dados expostos durante o incidente.