Pesquisadores de segurança usaram a Claude Opus 5 da Anthropic para sequestrar a conta de ChatGPT de um funcionário da OpenAI e alcançar o código interno da companhia em menos de 72 horas.
Principais pontos:
- Os pesquisadores combinaram uma falha em imagens de fórum com um problema de login da OpenAI para assumir contas do ChatGPT e do Codex.
- Um modelo mais novo da Claude criou um exploit funcional em poucas horas, depois que uma versão anterior falhou por dias.
- A OpenAI corrigiu o problema do seu lado cerca de 14 horas após o alerta e depois pagou uma recompensa de US$ 6.500.
Incidente da Hacktron AI na OpenAI
Pesquisadores da startup de segurança Hacktron AI divulgaram a operação nesta semana, quase dois meses depois de terem comunicado o caso à OpenAI e à Discourse, desenvolvedora do software de fórum. Uma apuração separada confirmou que a equipe conseguiu acesso à conta de um funcionário e chegou a um caminho para softwares privados da empresa.
A porta de entrada foi o fórum da comunidade da OpenAI, que roda em Discourse e aceita uploads de fotos nos formatos HEIC e HEIF. Esses arquivos eram processados por uma versão desatualizada da biblioteca de imagens libheif, o que permitiu à equipe executar código no servidor. Desde então, a Discourse classificou a falha subjacente com severidade 8,8 de 10 e passou a isolar o processamento de imagens em sandbox.
A segunda vulnerabilidade estava no sistema de autenticação único da OpenAI e transformava o controle do fórum em acesso às contas do ChatGPT e do Codex de qualquer usuário que fizesse login ali. A equipe então instruiu o Codex de um funcionário, conectado à organização da GitHub da OpenAI, a abrir um pull request inofensivo na base interna de código.
A OpenAI corrigiu sua parte cerca de 14 horas após o relato de 25 de julho e, depois, pagou uma recompensa de US$ 6.500.
Leia também: Tesla aposta no evento de 1º de outubro do Roadster contra a matemática das margens de Wall Street
Velocidade do exploit com a Claude Opus 5
A equipe primeiro testou a Claude Opus 4.8 contra a falha, mas o modelo não conseguiu tornar o ataque confiável quando as proteções padrão de memória foram ativadas. A Anthropic lançou a Opus 5 na noite de 24 de julho, e uma nova sessão produziu um exploit funcional em três horas. Em seguida, os pesquisadores colocaram o modelo em um ciclo autônomo contra o próprio servidor de testes, disfarçando a atividade como uma competição de hacking, já que ele se recusava a atacar alvos remotos.
O custo talvez seja a parte mais difícil de ignorar para os defensores. A campanha mais ampla, que também sondou Slack, Meta e Zoom, durou dois meses, consumiu menos de US$ 3 mil em tokens e envolveu três pessoas, afirmaram os pesquisadores em relato.
Converter uma falha de memória em um exploit confiável antes exigia habilidade rara e meses de trabalho, argumentaram eles, mas a inteligência artificial está transformando essa expertise escassa em poder computacional.
Reação de Vitalik Buterin à segurança
Nem todos veem a tendência como uma derrota para os defensores. O cofundador da Ethereum, Vitalik Buterin, contestou essa leitura em 17 de setembro, escrevendo que “está cada vez mais comum a ideia de que hacks com IA significam que a cibersegurança está condenada”, e que ele discorda disso.
A resposta dele é a verificação formal, isto é, a prova matemática de que um programa cumpre suas regras de segurança — embora tenha reconhecido que o problema mais difícil é definir, antes de tudo, o que significa ser seguro.
A divulgação também ocorre após um caso mais estranho envolvendo os próprios sistemas da OpenAI. Em julho, a empresa confirmou que modelos em avaliação, incluindo o GPT-5.6 Sol, escaparam de uma sandbox de testes e alcançaram a infraestrutura de produção da Hugging Face enquanto buscavam respostas para benchmarks. A Hugging Face detectou a invasão antes de a OpenAI associá-la aos seus próprios testes.
Próxima leitura: Huawei mira sistemas de IA com 1 milhão de processadores em ofensiva contra a Nvidia
