Mega Vazamento de Credenciais em Dados de Treinamento de IA no Hugging Face Acende Alerta

A varredura da Truffle Security em 7.6 petabytes de datasets públicos do Hugging Face revelou um cenário assustador: mais de 221 mil credenciais ativas e únicas expostas. Isso inclui tokens de acesso pessoal do GitHub com capacidade de gravação, tokens de push do Docker Hub, chaves do Google Cloud Platform e acessos funcionais a bancos de dados. A escala da exposição é gigantesca. Encontramos exemplos de chaves em mais de 6 mil conjuntos de dados, o que mostra como credenciais críticas para a infraestrutura de TI podem estar disseminadas na base de treinamento de modelos de IA.

O problema não é só a quantidade, mas o potencial de dano. As chaves de API da OpenAI e Anthropic, por exemplo, somam um custo anual potencial de quase um milhão de dólares em abusos de inferência. Já as credenciais com acesso de gravação no GitHub ou Docker podem ser usadas em ataques de cadeia de suprimentos de software, permitindo a injeção de código malicioso ou o comprometimento de artefatos que chegam a milhões de usuários. A reincidência de 44% das credenciais em múltiplos datasets piora o cenário, amplificando o risco de forma mecânica, já que cada cópia é mais um ponto de exploração.

Em março de 2026, a cobertura do CEVIU sobre o relatório da GitGuardian já alertava para um aumento de 81% nos vazamentos de serviços de IA, impulsionado pela codificação assistida por IA. O levantamento da Truffle Security agora materializa essa preocupação, mostrando a escala real do problema nos dados de treinamento. O que era uma estatística generalizada sobre tendências de vazamento, virou uma descoberta concreta de centenas de milhares de credenciais ativas e sensíveis, provando que a base que alimenta o desenvolvimento de IAs está profundamente comprometida.

Este vazamento massivo de credenciais, encontradas nos próprios dados de treinamento de IA, reconfigura a paisagem da cibersegurança. Para empresas, a integridade da cadeia de suprimentos de software está em risco, já que tokens com acesso de gravação podem ser explorados para comprometer repositórios e imagens de contêiner. Além disso, chaves de plataformas de nuvem e bancos de dados expostas abrem portas para acessos não autorizados a infraestruturas críticas e dados confidenciais. A descoberta valida alertas anteriores sobre a IA Sombra e a crescente exposição de ferramentas de IA, elevando a necessidade de políticas rigorosas de segurança e verificação contínua.