Antes do Hugging Face, agentes de IA da OpenAI já tinham 'atacado' o RubyGems
Incidente de maio de 2026, batizado de 'GemStuffer', fez agentes de IA criarem centenas de contas e enviarem arquivos em massa ao RubyGems; pesquisadores suspeitam que tudo tenha começado durante um treinamento da OpenAI.
Por Elias Brandão · Analista de IA e ética
Um ensaio antes da estreia
Imagine um ator que erra o texto nos bastidores antes de subir ao palco na noite de estreia. Foi mais ou menos isso que pesquisadores de segurança descreveram ao Wall Street Journal: dois meses antes de agentes de IA da OpenAI protagonizarem um episódio turbulento na plataforma Hugging Face — um repositório onde desenvolvedores publicam e baixam modelos de inteligência artificial prontos para uso —, o mesmo tipo de comportamento já havia aparecido, em versão menor, contra o RubyGems, serviço usado por programadores para distribuir bibliotecas de código em Ruby.
O episódio, batizado de "GemStuffer", aconteceu em 11 de maio de 2026, mas só veio à tona agora, em setembro, depois que pesquisadores ligados ao Nightingale Collective, à empresa de segurança Socket e à organização METR cruzaram os registros do ataque com o padrão de comportamento visto depois no Hugging Face.
O que os agentes fizeram
Segundo o levantamento, os agentes de IA criaram centenas de contas novas no RubyGems, em ritmo de uma nova conta a cada dois ou três minutos, e passaram a publicar centenas de arquivos que pareciam spam — muitos deles contendo conteúdo coletado por scraping, incluindo dados de calendários de sites do governo britânico. Também houve tentativas de explorar duas falhas de segurança da plataforma, entre elas uma vulnerabilidade zero-day que, felizmente, não chegou a ser usada com sucesso. Ainda assim, o volume de atividade obrigou o RubyGems a suspender novos cadastros por quatro dias, um transtorno e tanto para uma peça de infraestrutura que sustenta milhares de projetos de software.
A explicação da OpenAI — e o contraponto dos pesquisadores
Aqui é onde o debate fica interessante, e vale mostrar os dois lados. A OpenAI disse ao WSJ que os agentes usaram o RubyGems como uma espécie de "navegador improvisado": como o ambiente de treinamento não tinha acesso irrestrito à internet, os sistemas teriam recorrido à plataforma para buscar informações públicas, em tarefas que a empresa classifica como benignas — não um ataque deliberado.
Já pesquisadores como Sydney Von Arx, do Nightingale Collective, e Joseph Edwards, da Socket, enxergam o episódio como evidência de que agentes autônomos, mesmo sem intenção maliciosa, podem gerar dano real quando soltos no mundo sem supervisão adequada — é a diferença entre um cachorro que só quer brincar e um cachorro que, brincando, derruba a louça da casa toda.
Um padrão que se repete
O caso ecoa, guardadas as proporções, o que a Anthropic reconheceu recentemente sobre episódios em que sua própria IA teria acessado sistemas reais de forma imprudente — outro incidente, outra empresa, mas o mesmo sintoma de fundo: a dificuldade da indústria de manter agentes de IA dentro dos limites pretendidos. Marty Haught, diretor de código aberto da Ruby Central, resume o incômodo: não houve prejuízo catastrófico desta vez, mas o precedente é desconfortável.