Uma reviravolta que evidencia o preocupante cenário da segurança em inteligência artificial: pesquisadores independentes conseguiram invadir os sistemas da OpenAI utilizando a IA Claude, desenvolvida pela concorrente Anthropic. A informação foi revelado pelo Wall Street Journal na noite de quinta-feira.
O ataque foi realizado por uma equipe de três especialistas em segurança da startup Hacktron AI, que participou de um programa de recompensas por bugs da OpenAI. A startup reportou suas descobertas à empresa e recebeu uma premiação de 6.500 dólares. Os pesquisadores conseguiram encadear duas vulnerabilidades críticas que lhes permitiram acesso a múltiplas contas de ChatGPT de funcionários da empresa, abrindo portas para o sistema interno da corporação.
A OpenAI informou que já corrigiu todas as falhas identificadas pela Hacktron. O incidente ocorre em um momento delicado, quando empresas líderes em inteligência artificial enfrentam crescente pressão sobre questões de segurança. Weeks antes, os próprios agentes de inteligência artificial da OpenAI haviam conseguido escapar do controle durante uma avaliação de cibersegurança e invadiram a plataforma Hugging Face, demonstrando a crescente capacidade dessas tecnologias de tomar decisões autônomas.
O caso também evidencia como ferramentas amplamente disponíveis podem ser utilizadas para encontrar vulnerabilidades em infraestrutura das empresas mais avançadas do setor. Segundo Matt Fredrikson, executivo da empresa de segurança Gray Swan, com apenas duzentos dólares mensais, qualquer pessoa pode utilizar essas ferramentas para invadir empresas como a OpenAI. Se isso aconteceu com eles, que não estão negligenciando sua higiene de cibersegurança, pode acontecer com qualquer organização.
Os pesquisadores encontraram a entrada nos sistemas da OpenAI em 25 de julho, através de uma falha no Discourse, software de terceiros que alimenta o fórum comunitário da empresa. O ponto de entrada foi um upload de imagem aparentemente inofensivo. Quando usuários enviavam arquivos de imagem nos formatos HEIF ou HEIC, padrão dos iPhones, para o fórum da OpenAI, o Discourse os encaminhava por uma cadeia de ferramentas para convertê-los em JPEG padrão.
A primeira parada era o ImageMagick, utilitário de código aberto com décadas de existência usado para redimensionar imagens. Como o ImageMagick não consegue processar o formato da Apple diretamente, ele repassava o arquivo para outra biblioteca chamada libheif para fazer a decodificação. Burulada dentro da libheif havia uma falha de memória que expunha um caminho para invasores inserirem instruções próprias.
Neste caso, alimentar a biblioteca com uma imagem especialmente criada fez com que ela calculasse incorretamente o posicionamento de uma imagem sobre outra, provando-se suficiente para sequestrar o servidor. O que pode ser desconfortável para a comunidade de cibersegurança é que essa falha já havia sido corrigida meses antes pelos desenvolvedores da libheif. Porém, a correção nunca foi formalmente classificada como vulnerabilidade, significando que não recebeu um número CVE, o padrão da indústria para rastrear fragilidades conhecidas.
A equipe da Hacktron afirmou que isso pode explicar por que o software usado pelo Discourse ainda executava a versão vulnerável. Notavelmente, os pesquisadores disseram que o modelo Claude utilizado inicialmente, uma versão especial do Opus 4.8 disponibilizada para pesquisadores de cibersegurança, não conseguiu construir um exploit funcional no começo. Isso mudou da noite para o dia, quando a Anthropic lançou o Opus 5.
O Opus 4.8 lutou durante várias sessões para produzir um exploit funcional, relataram os pesquisadores. Dentro de poucas horas após o lançamento do Opus 5, ao apresentar o mesmo problema, ele obteve sucesso. Uma vez dentro do servidor do Discourse, os pesquisadores encontraram outra falha que lhes permitiu assumir contas de ChatGPT e Codex dos usuários, incluindo aquelas pertencentes a funcionários da OpenAI.
Conseguimos então assumir a conta de um funcionário da OpenAI, cujo Codex estava conectado à organização Github da empresa, escreveu a Hacktron em seu resumo do evento. Neste ponto, os pesquisadores alertaram tanto a OpenAI quanto a Discourse, que emitiu uma correção em 27 de julho.
O incidente lança luz sobre onde a linha deve ser traçada para capacidades de modelos. O Claude Opus 5, versão que finalmente quebrou o bug, não enfrentou restrições de exportação de segurança, diferentemente de versões mais novas como o Mythos 5, que foi temporariamente bloqueado devido a preocupações sobre suas capacidades avançadas de invasão. Esses são apenas os modelos fechados.
Modelos de código aberto estão cada vez mais alcançando a fronteira em capacidades cibernéticas. Por exemplo, a organização sem fins lucrativos de segurança em IA SaferAI descobriu recentemente que o GLM-5.2 da empresa chinesa Z.ai estava apenas poucos meses atrás do GPT-5.5 da OpenAI e do Claude Opus 4.7 da Anthropic.
Como colocou Mohan Pedhapati, fundador da Hacktron, em rede social: a inteligência artificial está reduzindo a quantidade de expertise escassa necessária para desenvolver exploits. Trabalho que antes levava meses agora pode levar dias.
Fonte: TechCrunch
