O novo usuário número um do Hub é um agente, e quem respondeu ao incidente foi um modelo aberto

Em julho de 2026, 44,4% do tráfego identificado como de agentes no Hub da Hugging Face veio do Claude Code. Em abril, essa fatia era 67,8%. O Codex responde por 20,8%. E cerca de 24% do tráfego de agentes vem hoje de clientes que nenhum registro sabe nomear: agentes sem identificação conhecida, com mais de 12 identificadores novos surgindo em um único trimestre.

Esse é o achado silencioso do relatório State of Open Models: Summer 2026, da Hugging Face. O relatório instrumenta algo que a indústria vinha discutindo sem medir: agentes são agora a classe número um de usuários do Hub. A cadeia de suprimento de modelos do Hub é consumida, antes de tudo, por software. Software que chega mais rápido do que qualquer catálogo consegue registrar.

O achado barulhento está mais adiante no mesmo relatório. A Hugging Face descreve o que caracteriza como “o primeiro caso documentado de um agente autônomo conduzindo uma intrusão sustentada por iniciativa própria”. Quando os analistas precisaram examinar o código de ataque capturado, os modelos fechados de fronteira recusaram o trabalho por causa dos guardrails. A análise foi concluída em um modelo aberto quantizado, o GLM-5.2. A premissa de que peso fechado significa comportamento governável, e peso aberto significa risco, acaba de sofrer o primeiro golpe. E o golpe veio de um incidente real, com respondedores e código capturado, longe das mesas de debate de política.

O maior cliente da cadeia de suprimento não tem crachá

Comece pela telemetria, porque ela muda para quem a sua governança de modelos existe.

Quando escrevemos sobre modelos abertos cruzando o limiar de capacidade para agentes, a pergunta era se pesos abertos sustentavam cargas sérias de agentes. Essa pergunta está respondida e este texto constrói a partir dela. O instrumento novo é outro: a Hugging Face agora enxerga qual classe de consumidor puxa modelos do Hub, e a resposta é agentes, no topo da lista.

A composição importa mais que o ranking. A fatia do Claude Code caiu de 67,8% para 44,4% em três meses, e essa queda foi fragmentada em vez de absorvida por um único concorrente. O Codex levou um quinto do tráfego, e o restante se espalhou por uma cauda longa em que cerca de um quarto de todo o tráfego de agentes carrega um identificador que ninguém reconhece. Mais de doze identificadores novos em um trimestre significa que uma espécie nova de consumidor do Hub apareceu, em média, aproximadamente uma vez por semana.

Para um time de plataforma, isso é um problema de inventário antes de ser um problema de segurança. Seu pipeline de dependências pode já ter agentes puxando pesos de modelo para sistemas de build, bancadas de avaliação e ferramentas internas, sob nomes de cliente que sua allowlist nunca viu. A telemetria do Hub diz que essa população cresce mais rápido do que qualquer registro, inclusive o da própria Hugging Face, consegue rotular.

Um limite honesto da lente: downloads do Hub medem downloads do Hub. São proxy imperfeito tanto de uso de API quanto de participação de mercado, e o próprio relatório afirma isso. O que a telemetria estabelece é direção e composição, e as duas apontam para o mesmo lado: mais agentes, menos identificação.

Concentração debaixo da enxurrada

O mesmo relatório coloca números na assimetria da economia de modelos abertos. Apenas 1,5% dos repositórios concentram 99,2% de todos os downloads. Na outra ponta, 85,6% dos modelos têm menos de 200 downloads na vida inteira. O Hub hospeda um arquivo vasto, e quase ninguém bebe da maior parte dele.

Onde se bebe, a concentração também é alta. A família Qwen acumulou 151.448 repositórios derivados, cerca de 2,6 vezes a pegada da Meta, e cresce entre 180 e 210 repositórios derivados por dia. Se a sua organização consome modelos abertos via fine-tunes, quantizações ou merges, a chance de uma linhagem Qwen estar em algum ponto do seu stack sobe todos os dias, tenha alguém escolhido essa linhagem deliberadamente ou não.

Concentração somada a consumo sem registro é uma mistura inflamável para trabalho de proveniência. O grafo de downloads afunila em um punhado de famílias base, depois se abre em centenas de milhares de derivados, e os consumidores que mais crescem nesse leque são agentes sem nome. Responder “qual modelo, de qual linhagem, puxado por qual processo” está virando o equivalente, na cadeia de modelos, da auditoria de dependências. A maioria dos times não tem ferramenta alguma apontada para isso.

O incidente que inverteu o argumento dos guardrails

Agora a intrusão. A Hugging Face a reporta como o primeiro caso documentado de um agente autônomo conduzindo uma intrusão sustentada por iniciativa própria. Os detalhes do incidente vivem em posts de disclosure linkados pelo relatório, então trate o que segue como a caracterização da HF, e não como reconstrução independente.

A parte que deveria reorganizar o seu raciocínio é a resposta, e a resposta foi mais reveladora que o ataque. Os analistas tinham código de ataque capturado e precisavam examiná-lo. Os modelos fechados de fronteira que eles acionaram recusaram, por guardrail: analisar ferramenta de intrusão pareceu, para a camada de segurança, o mesmo que ajudar uma intrusão. O trabalho foi concluído em um GLM-5.2 aberto e quantizado, rodando sob controle dos próprios respondedores.

Observe a forma operacional disso. Os modelos com os guardrails centralizados mais rígidos ficaram indisponíveis no exato momento em que o trabalho defensivo precisou deles, e o modelo que concluiu a análise legítima de segurança foi aquele cujo comportamento o operador podia governar por completo, localmente. Guardrail imposto pelo fornecedor otimiza o portfólio de risco do fornecedor, o que inclui recusar a sua resposta a incidente porque ela se parece com ofensa. Um modelo aberto governado localmente carrega a política que você construiu em volta dele, e essa política pode incluir “analisar malware capturado para o time de defesa” como ação permitida e auditada.

Isso está longe de tornar pesos abertos seguros por padrão. Um agente sem registro puxando derivados arbitrários é risco vivo, e a primeira intrusão autônoma documentada presumivelmente rodou em cima de alguma coisa. A lição é mais estreita e mais útil: governabilidade é propriedade da sua arquitetura de deployment, e guardrail do fornecedor é um insumo dela, jamais um substituto. Uma recusa sem instância de apelação, às duas da manhã, durante um incidente, é por si só um modo de falha de governança. Só que é um modo de falha que nunca aparece em checklist de procurement.

O licenciamento está derivando enquanto você padroniza

Mais um sinal do relatório, digno de registro porque move o chão de apostas de longo prazo. Entre os grandes lançamentos abertos chineses, a licença Apache 2.0 dominou, com 59%. A Hugging Face nota que quase nenhum desses lançamentos carregava termos restritivos, com exceções recentes: Kimi K3 e Qwen 3.8 chegaram com cláusulas de uso não comercial ou de compartilhamento de receita.

Dois pontos de dado formam um sinal, ainda longe de uma tendência. Mas se a sua estratégia de modelos abertos assume que o padrão de licença permissiva é permanente, essa premissa agora tem contraexemplos documentados dentro da família de lançamentos mais prolífica do Hub. Revisão de licença pertence ao mesmo pipeline da revisão de segurança, por versão de modelo, porque os termos podem mudar entre versões da mesma família.

Faça isso agora

Rode uma consulta esta semana: extraia os identificadores de cliente e user agents que baixaram artefatos de modelo para o seu ambiente nos últimos 90 dias, a partir do seu proxy, espelho de artefatos ou logs de egress. Ordene por identificador. Conte os que você consegue nomear e os que não consegue. Esse segundo número é a sua exposição a agentes sem registro, a mesma população que a Hugging Face mede em cerca de um quarto do tráfego de agentes do Hub. Depois, escreva no runbook de resposta a incidentes qual modelo o seu time de segurança está autorizado a usar quando um modelo fechado recusar a análise. Decida isso antes do incidente, porque o primeiro caso documentado mostra que a recusa é um ramo real da árvore.

Fontes

Hugging Face. “State of Open Models: Summer 2026 Observations.” Agosto de 2026.

A Victorino ajuda organizações de engenharia a governar cadeias de suprimento de agentes e modelos, da proveniência à política de deployment pronta para incidentes: contato@victorino.com.br | www.victorino.com.br