Um grupo de pesquisadores conseguiu usar o Claude, da Anthropic, para explorar uma cadeia de falhas que levou até contas de funcionários da OpenAI. O caso não é apenas uma disputa entre laboratórios de inteligência artificial. Ele mostra que modelos comerciais já podem reduzir o tempo necessário para investigar vulnerabilidades, enquanto as equipes de segurança precisam proteger uma superfície cada vez maior de sistemas, bibliotecas e contas conectadas.
A descoberta foi relatada pela TechCrunch em 18 de setembro, dentro de um programa de recompensa por bugs da própria OpenAI. A equipe da Hacktron AI recebeu US$ 6.500 depois de comunicar o problema. Segundo o relato, a empresa corrigiu as falhas. Ainda assim, o episódio merece atenção porque a ferramenta que ajudou a conduzir o trabalho não foi criada especificamente para invadir aquela infraestrutura. Era um modelo acessível a pesquisadores de segurança.
Como a invasão começou
O primeiro ponto fraco estava no Discourse, software usado pelo fórum da comunidade da OpenAI. Usuários podiam publicar imagens nos formatos HEIF ou HEIC, comuns em iPhones. Para transformar esses arquivos em JPEG, o servidor acionava uma sequência de ferramentas, incluindo o ImageMagick e a biblioteca libheif. Uma falha de memória já corrigida pelos desenvolvedores da biblioteca não havia recebido um número CVE, o identificador que ajuda empresas a acompanhar vulnerabilidades conhecidas.
Essa ausência de registro ajudou a esconder o risco. O componente continuava em uma versão vulnerável porque a correção não havia sido formalmente tratada como um problema de segurança. A equipe preparou uma imagem malformada e conseguiu fazer o servidor interpretar dados de maneira indevida. Em termos simples, um arquivo aparentemente comum atravessou o fluxo de processamento e abriu uma porta para a execução de instruções no ambiente do fórum.
O salto que o modelo ofereceu
O trabalho começou com uma versão anterior do Claude voltada a pesquisa de segurança. De acordo com os pesquisadores, o modelo teve dificuldade para chegar a um exploit funcional. A situação mudou quando a Anthropic lançou o Opus 5. Em poucas horas, a nova versão conseguiu transformar a análise da falha em uma sequência de exploração que funcionava no ambiente estudado.
Isso não significa que o modelo tenha agido sozinho ou que qualquer pessoa possa repetir o caso com um comando. A equipe humana escolheu o alvo autorizado, configurou o ambiente, interpretou as respostas e verificou cada etapa. A mudança importante é outra: o modelo passou a cuidar de uma parte do trabalho que antes exigia experiência especializada, pesquisa manual em código e muitas tentativas para construir uma prova de conceito.
Depois de entrar no servidor do fórum, os pesquisadores encontraram uma segunda falha que permitia assumir contas de usuários do ChatGPT e do Codex. Uma dessas contas pertencia a um funcionário da OpenAI e estava conectada à organização da empresa no GitHub. O acesso não foi usado para roubar dados, porque a equipe interrompeu a atividade e comunicou o problema, mas a cadeia revela como um defeito em software de terceiros pode alcançar sistemas internos de uma companhia de IA.
Por que isso importa para empresas brasileiras
O alerta vale para qualquer organização que aceite arquivos de usuários, mantenha fóruns ou ligue serviços externos a contas corporativas. O risco não está somente no modelo de IA. Ele aparece na combinação entre uma biblioteca de conversão, um sistema de autenticação, permissões excessivas e credenciais que permitem atravessar de uma aplicação pública para um ambiente privado.
Em equipes de desenvolvimento, a primeira lição é inventariar dependências e acompanhar correções mesmo quando elas não recebem um CVE imediatamente. Um pacote pode ter um conserto publicado sem que o risco esteja bem documentado. A segunda é tratar contas de serviço e integrações com GitHub como ativos de alto impacto. Uma conta de fórum nunca deveria carregar acesso amplo ao código de produção ou a repositórios que não são necessários para o trabalho cotidiano.
A terceira lição é separar ambientes. Sistemas que recebem anexos precisam operar com permissões mínimas, redes segmentadas e filtros que impeçam o arquivo processado de alcançar serviços internos. Também é importante registrar quais ações um agente de IA pode executar, bloquear comandos fora do escopo e exigir aprovação humana antes de qualquer mudança em código, credencial ou infraestrutura.
O novo papel da IA na defesa
Há uma ironia no caso: a mesma tecnologia que acelera a criação de exploits também pode ajudar a encontrar e corrigir falhas. Um agente pode revisar dependências, comparar configurações, simular entradas malformadas e explicar caminhos de ataque para uma equipe que não tem especialistas em cada biblioteca. O benefício, porém, depende de um ambiente controlado. Colocar um modelo com acesso aberto à internet e a credenciais reais transforma uma auditoria em um incidente em potencial.
Para os profissionais de segurança, isso muda a prioridade. Não basta testar se o modelo responde de forma segura a uma pergunta sobre invasão. É preciso testar como ele se comporta quando recebe acesso a ferramentas, arquivos, terminais e contas. A autorização deve acompanhar cada recurso e ser revogada ao fim da tarefa. Logs detalhados também são essenciais para reconstruir o que aconteceu e distinguir uma exploração autorizada de uma ação maliciosa.
Uma fronteira que ficou mais estreita
O episódio também ajuda a entender por que a segurança de software está entrando em uma fase de pressão maior. Modelos avançados conseguem resumir documentação, sugerir testes, localizar padrões suspeitos e adaptar uma estratégia quando a primeira tentativa falha. Isso reduz barreiras para pesquisadores responsáveis, mas também para criminosos. A diferença entre uma defesa consistente e uma invasão pode estar na qualidade dos controles ao redor do modelo.
O caso da OpenAI terminou com correções e divulgação responsável, mas a mensagem é mais ampla. Empresas que usam IA precisam rever dependências, permissões e integrações como um único sistema. Para desenvolvedores brasileiros, a prática mais útil é simples: atualizar bibliotecas, registrar vulnerabilidades mesmo sem CVE, separar credenciais e tratar qualquer agente como um operador poderoso, não como um chatbot inofensivo.
Fonte original: TechCrunch.
