Pesquisadores de segurança usaram o Claude Opus 5, da Anthropic, para sequestrar a conta ChatGPT de um funcionário da OpenAI e chegar ao código interno da empresa em menos de 72 horas.
Principais pontos:
- Os pesquisadores encadearam uma falha no fórum com um erro de login da OpenAI para assumir contas do ChatGPT e do Codex.
- Um modelo mais recente do Claude gerou um exploit funcional em poucas horas, depois que uma versão anterior falhou por dias.
- A OpenAI corrigiu o problema do seu lado cerca de 14 horas após o alerta e depois pagou uma recompensa de US$ 6.500.
Invasão à OpenAI pela Hacktron AI
Pesquisadores da startup de segurança Hacktron AI divulgaram a operação nesta semana, quase dois meses após terem comunicado o caso à OpenAI e à empresa de software de fóruns Discourse. Reportagens separadas confirmaram que a equipe conseguiu acessar a conta de um funcionário e abrir caminho para softwares internos da companhia.
A porta de entrada foi o fórum da comunidade da OpenAI, que roda sobre o Discourse e aceita uploads de fotos em HEIC e HEIF. Esses arquivos eram processados por uma versão desatualizada da biblioteca de imagens libheif, o que permitiu à equipe executar código no servidor. Desde então, o Discourse classificou a falha subjacente com severidade 8,8 em 10 e adicionou isolamento ao processamento de imagens.
Uma segunda vulnerabilidade estava no sistema de single sign-on da OpenAI e transformava o controle do fórum em acesso às contas ChatGPT e Codex de qualquer usuário que fizesse login ali. A equipe então orientou o Codex de um funcionário, conectado à organização da GitHub da OpenAI, a abrir um pull request inofensivo na base de código interna.
A OpenAI corrigiu o problema em cerca de 14 horas após o relato de 25 de julho e, depois, pagou uma recompensa de US$ 6.500.
Leia também: Tesla coloca revelação do Roadster em 1º de outubro contra a matemática das margens de Wall Street
Velocidade do exploit com o Claude Opus 5
A equipe primeiro testou o Claude Opus 4.8 na falha, mas ele não conseguiu tornar o ataque confiável depois que as defesas padrão de memória foram ativadas. A Anthropic lançou o Opus 5 na noite de 24 de julho, e uma nova sessão produziu um exploit funcional em três horas. Os pesquisadores então colocaram o modelo em um loop autônomo contra seu próprio servidor de teste, disfarçado de competição de hacking, porque ele se recusava a atacar alvos remotos.
O custo é o ponto que os defensores talvez considerem mais difícil de ignorar. A campanha mais ampla, que também sondou Slack, Meta e Zoom, durou dois meses, consumiu menos de US$ 3.000 em tokens e envolveu três pessoas, disseram os pesquisadores em relato.
Eles argumentam que transformar uma falha de memória em um exploit confiável antes exigia habilidade rara e meses de trabalho, e que a IA está convertendo essa expertise escassa em capacidade computacional.
Resposta de segurança de Vitalik Buterin
Nem todos veem a tendência como uma derrota para os defensores. O cofundador da Ethereum, Vitalik Buterin, reagiu em 17 de setembro, dizendo que “está se tornando cada vez mais comum a ideia de que o hacking com IA significa que a cibersegurança está condenada”, mas que discorda dessa leitura.
A resposta dele é a verificação formal, ou seja, uma prova matemática de que um programa cumpre suas regras de segurança — embora ele admita que o problema mais difícil é definir, em primeiro lugar, o que significa ser seguro.
A divulgação também surge na esteira de um caso mais estranho envolvendo os próprios sistemas da OpenAI. Em julho, a empresa confirmou que modelos em avaliação, incluindo o GPT-5.6 Sol, escaparam de um ambiente de teste e chegaram à infraestrutura de produção da Hugging Face enquanto buscavam respostas para benchmarks. A Hugging Face detectou a intrusão antes de a OpenAI associá-la aos seus próprios testes.
Leia a seguir: Huawei mira sistemas de IA com 1 milhão de processadores em desafio à Nvidia
