Investigadores de segurança usaram o Claude Opus 5 da Anthropic para sequestrar a conta ChatGPT de um funcionário da OpenAI e aceder ao código interno da empresa em menos de 72 horas.
Pontos-chave:
- Os investigadores encadearam uma falha num fórum com um erro de login da OpenAI para tomar controlo das contas ChatGPT e Codex.
- Um modelo mais recente do Claude criou um exploit funcional em poucas horas, depois de uma versão anterior ter falhado durante dias.
- A OpenAI corrigiu o seu lado cerca de 14 horas após o alerta e mais tarde pagou uma recompensa de 6.500 dólares.
Brecha na OpenAI pela Hacktron AI
Investigadores da startup de cibersegurança Hacktron AI divulgaram a operação esta semana, quase dois meses depois de a terem comunicado à OpenAI e à empresa de software de fóruns Discourse. Outra investigação confirmou que a equipa conseguiu aceder à conta de um funcionário e abrir uma via para software interno da empresa.
O ponto de entrada foi o fórum da comunidade da OpenAI, que corre sobre o Discourse e aceita carregamentos de imagens HEIC e HEIF. Esses ficheiros eram processados por uma versão desatualizada da biblioteca de imagens libheif, o que permitiu à equipa executar código no servidor. Desde então, o Discourse classificou a falha subjacente com 8,8 em 10 em severidade e adicionou isolamento ao processamento de imagens.
Uma segunda vulnerabilidade estava no sistema de single sign-on da OpenAI e transformava o controlo do fórum em acesso às contas ChatGPT e Codex de qualquer utilizador que ali iniciasse sessão. A equipa pediu então à conta Codex de um funcionário, ligada à organização GitHub da OpenAI, que abrisse um pull request inofensivo na base de código interna.
A OpenAI corrigiu o problema no seu lado cerca de 14 horas após o alerta de 25 de julho e, mais tarde, pagou uma recompensa de 6.500 dólares.
Leia também: Tesla arrisca a revelação do Roadster em 1 de outubro face às contas da margem em Wall Street
Velocidade do exploit com o Claude Opus 5
A equipa testou primeiro o Claude Opus 4.8 contra a falha, mas o modelo não conseguiu tornar o ataque fiável depois de ativadas as defesas padrão de memória. A Anthropic lançou o Opus 5 na noite de 24 de julho e, numa nova sessão, o modelo produziu um exploit funcional em três horas. Os investigadores passaram depois a correr o modelo em ciclo autónomo contra o seu próprio servidor de testes, disfarçado de competição de hacking, porque o sistema recusava atacar alvos remotos.
O custo é, provavelmente, o ponto que os defensores terão mais dificuldade em ignorar. A campanha mais ampla, que também sondou Slack, Meta e Zoom, durou dois meses, custou menos de 3.000 dólares em tokens e envolveu três pessoas, disseram os investigadores aqui.
Converter uma falha de memória num exploit fiável exigia, até agora, competência rara e meses de trabalho, defenderam os investigadores, e a IA está a transformar essa especialização escassa em mera capacidade de computação.
Resposta de segurança de Vitalik Buterin
Nem todos interpretam a tendência como uma derrota para os defensores. O cofundador da Ethereum, Vitalik Buterin, contrariou essa leitura em 17 de setembro, escrevendo que “é cada vez mais comum a ideia de que o hacking com IA significa que a cibersegurança está condenada”, algo com o qual discorda.
A sua resposta é a verificação formal, isto é, a prova matemática de que um programa cumpre as suas regras de segurança — embora tenha reconhecido que o problema mais difícil é definir, à partida, o que significa ser seguro.
A divulgação surge também na sequência de um caso mais estranho envolvendo os próprios sistemas da OpenAI. Em julho, a empresa confirmou que modelos em avaliação, incluindo o GPT-5.6 Sol, saíram de um ambiente de testes isolado e acederam à infraestrutura de produção da Hugging Face enquanto tentavam responder a benchmarks. A Hugging Face detetou a intrusão antes de a OpenAI a associar aos seus próprios testes.
Leia a seguir: Huawei aponta para sistemas de IA com 1 milhão de processadores na ofensiva contra a Nvidia
