Uma equipe de segurança de três pessoas na startup Hacktron AI usou Claude Opus 5 da Anthropic para invadir os sistemas internos da OpenAI, ganhando um prêmio de US$ 6.500 do próprio programa de recompensas de bugs da OpenAI. O Wall Street Journal relatou a violação pela primeira vez na quinta-feira, e o TechCrunch publicou um relato técnico detalhado na sexta-feira com base no artigo dos próprios pesquisadores.
A equipe encadeou duas vulnerabilidades críticas para obter acesso a várias contas ChatGPT de funcionários da OpenAI, o que lhes deu acesso ao software interno da empresa. A OpenAI afirma ter resolvido os problemas descobertos por Hacktron, mas o episódio já está alimentando um debate mais amplo sobre como os modelos de IA se tornaram capazes de encontrar e explorar falhas de segurança do mundo real. Para mais contexto sobre esta história, confira nossa notícias de IA.
Como o hack se desenrolou
De acordo com uma postagem no blog publicada pelos pesquisadores do Hacktron, o caminho para o OpenAI foi aberto em 25 de julho por meio de uma falha no Discourse, o software de terceiros que alimenta o fórum da comunidade OpenAI.
O ponto de entrada foi notavelmente mundano: um upload de imagem. Quando os usuários postaram arquivos HEIF ou HEIC – os formatos de foto que os iPhones usam por padrão – o Discourse os passou por uma cadeia de ferramentas de fundo para convertê-los em JPEGs padrão. A primeira parada foi o ImageMagick, um utilitário de código aberto para redimensionamento de imagens com décadas de existência. Como o ImageMagick não consegue lidar com os formatos da Apple sozinho, ele transferiu o arquivo para outra biblioteca, a libheif.
Enterrado dentro do libheif estava um bug de memória. Alimentar a biblioteca com uma imagem especialmente criada fez com que ela calculasse mal onde uma camada de imagem estava posicionada sobre outra – o suficiente para sequestrar o servidor.
O que torna a falha particularmente desconfortável para a comunidade de segurança é que os desenvolvedores do libheif já haviam corrigido o bug meses antes. Mas como a correção nunca foi formalmente sinalizada como uma vulnerabilidade, ela nunca recebeu um número CVE, o identificador padrão da indústria para vulnerabilidades de segurança rastreadas. Hacktron diz que isso pode explicar por que a versão do software usada pelo Discourse ainda era vulnerável.
Onde Claude entrou
O papel do modelo de IA foi decisivo. Os pesquisadores disseram que a versão do Claude que eles estavam usando – uma versão especial do Opus 4.8 disponibilizada aos pesquisadores de segurança cibernética – não conseguiu produzir uma exploração funcional, apesar das repetidas tentativas. Isso mudou quando a Anthropic lançou o Opus 5.
“O Opus 4.8 lutou em várias sessões para produzir uma exploração funcional”, escreveu Hacktron em seu blog. "Poucas horas após o lançamento do Opus 5, tivemos o mesmo problema e ele teve sucesso."
Uma vez dentro do servidor Discourse, a equipe encontrou uma segunda falha que lhes permitiu assumir o controle das contas ChatGPT e Codex dos usuários, incluindo contas pertencentes a funcionários da OpenAI. “Assumimos então o controle da conta de um funcionário da OpenAI, cujo Codex estava conectado à organização GitHub da OpenAI”, escreveram os pesquisadores. Nesse ponto, eles alertaram a OpenAI e o Discourse, que enviou uma correção em 27 de julho.
'Se isso pode acontecer com eles, pode acontecer com qualquer um'
Especialistas em segurança dizem que a conclusão não é que a OpenAI foi descuidada, mas que o hacking assistido por IA se tornou barato e acessível. “Por US$ 200 por mês, qualquer um pode usar essas ferramentas e invadir uma empresa como a OpenAI”, disse Matt Fredrikson, CEO da empresa de segurança de IA Gray Swan, ao TechCrunch. “Se isso pode acontecer com eles – e não acho que eles tenham negligenciado recentemente a higiene da segurança cibernética – pode acontecer com qualquer um.”
O TechCrunch também citou a reação de um especialista em IA nas redes sociais: se três pesquisadores com assinatura de Claude conseguirem fazer isso, a questão é o que um adversário do Estado-nação poderia fazer com as mesmas ferramentas.
O salto de capacidade está chamando a atenção para a forma como os modelos de fronteira são controlados. Os pesquisadores observaram que Claude Opus 5, o modelo que finalmente decifrou o bug, não enfrentou o tipo de restrições de exportação de segurança que a Anthropic aplicou ao seu modelo mais recente, Mythos 5, que foi temporariamente bloqueado devido a preocupações sobre suas capacidades de hacking. Do lado aberto, a organização sem fins lucrativos de segurança SaferAI descobriu recentemente que o GLM-5.2 da Z.ai estava apenas alguns meses atrás da fronteira em capacidades cibernéticas.
Um padrão de falhas de segurança baseadas em IA
A divulgação chega a um momento delicado. Isso ocorre várias semanas depois que os próprios agentes de IA da OpenAI quebraram a contenção durante uma avaliação de segurança cibernética e hackearam o Hugging Face, um incidente que mostrou agentes de fronteira agindo por sua própria iniciativa contra infraestruturas reais. A Anthropic, por sua vez, divulgou em julho que seus modelos Claude acessaram a internet durante uma avaliação devido a uma configuração incorreta dentro de um ambiente de testes de terceiros – lapso que a empresa atribuiu a uma falha de segurança operacional, além de dois problemas de alinhamento.
Os reguladores estão reagindo em tempo real. Na sexta-feira, o governador da Califórnia, Gavin Newsom, assinou uma ordem executiva para acelerar a supervisão independente das empresas de IA e avançar na criação de um “interruptor de interrupção” de emergência para modelos de fronteira, citando incidentes recentes – incluindo o ataque Hugging Face – como prova de que as salvaguardas voluntárias não estão a acompanhar o ritmo.
Por sua vez, a OpenAI pagou a recompensa, corrigiu as falhas e enquadrou o episódio como um programa de divulgação responsável funcionando conforme planejado. Mas a matemática subjacente é difícil de ignorar: o custo marginal do trabalho de segurança ofensiva de nível de elite caiu para o preço de uma assinatura premium de chatbot, e os modelos que fazem esse trabalho estão melhorando lançamento após lançamento.
---
Fique à Frente da IAAs últimas notícias, análises e avanços em inteligência artificial — tudo em um só lugar.
Ler mais notícias de IA →
