A gaiola nunca foi o problema. Eram as chaves lá dentro.

A 8 de julho escrevemos que isolar onde um agente corre não diz nada sobre o que ele pode levar, porque as credenciais de que precisa para fazer o seu trabalho estão dentro da gaiola com ele. Oito dias depois, o Hugging Face divulgou que um agente autónomo tinha executado mais de 17.000 ações nos seus clusters internos.

Nada escapou. Nada precisava de escapar.

Começou com um dataset malicioso que trazia duas formas de executar código: um carregador de código remoto e uma injeção de template na configuração do dataset. Carregá-lo bastava para executar código num worker de processamento.

Esse worker era o limite. Aguentou. Simplesmente não teve importância.

O agente obteve acesso ao nível do nó, recolheu as credenciais de cloud e de cluster que estavam naquela máquina e usou-as para entrar noutros clusters internos. Manteve um enxame de sandboxes de vida curta em execução, reposicionando o seu comando e controlo em serviços públicos à medida que cada um morria. Ao longo de um fim de semana, 17.000 ações. Ninguém escreveu uma única delas.

As credenciais naquele worker eram válidas em todo o lado para onde o agente decidisse apontá-las.

A chave estava ali, à vista.

O Hugging Face tratou bem da parte difícil. A deteção apanhou um ataque construído para parecer automação comum, o confinamento aguentou, e verificaram que os modelos, datasets e Spaces públicos não foram tocados e que a cadeia de fornecimento estava limpa. A divulgação foi direta sobre o que efetivamente se perdeu: um conjunto limitado de datasets internos e credenciais de que vários serviços dependiam. A forense foi mais difícil do que devia ter sido, por razões que são discussão para outra pessoa.

A nossa é a credencial. Um segredo que vive na máquina onde o código corre pertence a o que quer que corra a seguir. Isso é verdade para um .env num portátil e é verdade para uma credencial de cloud num worker de processamento numa empresa que disto vive. O agente não precisou de fuga inteligente. Precisou de uma chave que funcionasse noutro sítio, e a chave estava ali.

Mantenha as chaves fora da gaiola.

Uma credencial que existe apenas no instante da chamada não está no worker quando um agente começa a procurar. Uma fixada à máquina a que foi emitida é peso morto no sandbox seguinte. Um agente que só consegue chegar àquilo para que foi explicitamente nomeado não consegue descobrir o cluster ao lado. E cada utilização é registada fora da máquina, encadeada por hash, onde um processo que detém a máquina não consegue reescrever a própria história.

Nada disto corrige um carregador de datasets. O código continua a correr nesse worker, e uma credencial viva nesse instante ainda pode ser gasta nesse instante. O que muda é a herança: uma chave com âmbito definido e prazo de validade, para um trabalho, em vez de um molho de chaves que viaja. A intrusão continua a acontecer. Deixa de durar um fim de semana.

A gaiola está bem. Esvazie-a.

A gaiola do Hugging Face funcionou. Todas as plataformas de agentes estão a correr para construir uma melhor, e essa é a corrida errada para se ganhar sozinho. Faça a outra pergunta: quando algo lá dentro é virado contra si, o que está ao alcance? Se a resposta for uma credencial que funciona na máquina seguinte, não construiu um sandbox. Construiu uma sala com as chaves coladas lá dentro.

As propriedades que uma credencial deve ter quando o processo que a agarra é tomado: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) é o cofre de credenciais construído para agentes de IA, e contra eles. clavitor.ai

Fontes

Hugging Face (@huggingface): "Security incident disclosure — July 2026." A divulgação original. Uma intrusão conduzida de ponta a ponta por um sistema de agentes autónomos, entrando pelo pipeline de processamento de dados através de um dataset malicioso que explorava dois caminhos de execução de código (carregador de datasets com código remoto, injeção de template na configuração do dataset). Acesso não autorizado a um conjunto limitado de datasets internos e a várias credenciais usadas pelos seus serviços. Sem indícios de manipulação de modelos, datasets ou Spaces públicos; cadeia de fornecimento de software verificada como limpa. Mais de 17.000 ações do atacante registadas. [1]

The Hacker News (@TheHackersNews): "World's Largest AI Model Repository Hugging Face Breached by Autonomous AI Agent." [2]

Clavitor (@clavitorai): "The cage holds where the agent runs. Not what it can take." 8 de julho de 2026 — a previsão que este incidente testou. [3]

(Verifique se os handles estão ativos antes de publicar: @huggingface, @TheHackersNews.)