Pesquisadores usaram Claude da Anthropic para invadir OpenAI

Em uma reviravolta que captura o estranho novo estado da segurança da IA, pesquisadores de segurança independentes usaram Claude da Anthropic para invadir o OpenAI, expondo rachaduras nas defesas do criador do ChatGPT, The Wall Street Journal relatado na noite de quinta-feira.

Uma equipe de segurança de três pessoas na inicialização Hacktron IA realizou o ataque como parte de um programa de recompensas de bugs da OpenAI. Hacktron relatou suas descobertas à OpenAI, que concedeu à startup um prêmio de US$ 6.500. A equipe conseguiu encadear duas vulnerabilidades críticas para obter acesso a várias contas ChatGPT de funcionários da OpenAI, o que lhes deu acesso ao software da empresa.

A OpenAI afirma ter resolvido os problemas descobertos por Hacktron, o que ocorre em um momento em que as principais empresas de IA estão sob pressão crescente por segurança.

Este incidente ocorre várias semanas depois que os próprios agentes de IA da OpenAI quebraram a contenção durante uma avaliação de segurança cibernética e hackearam o Hugging Face, demonstrando o quão capazes os modelos de IA estão se tornando capazes de tomar suas próprias decisões. Também destaca como a tecnologia disponível no mercado pode ser usada para encontrar vulnerabilidades até mesmo na infraestrutura das empresas mais avançadas.

“Por US$ 200 por mês, qualquer pessoa pode usar essas ferramentas e invadir uma empresa como a OpenAI”, disse Matt Fredrikson, CEO da empresa de segurança de IA Gray Swan, ao TechCrunch. “Se isso pode acontecer com eles – e não acho que eles tenham negligenciado recentemente a higiene da segurança cibernética – poderia acontecer com qualquer um.”

Ou como um especialista em IA observado nas redes sociais: “(Hacktron) usou o Opus 5 para realizar o hack… A pergunta que será feita é: se esses três caras conseguem fazer isso, o que um estado-nação pode fazer.”

Os pesquisadores encontraram um caminho para o OpenAI em 25 de julho por meio de uma falha no Discourse, o software de terceiros que alimenta o fórum da comunidade OpenAI.

De acordo com um blog o pesquisadores publicaramo ponto de entrada foi um upload de imagem comum. Quando os usuários postaram arquivos de imagem HEIF ou HEIC (o formato que os iPhones usam por padrão) no fórum da comunidade OpenAI, o Discourse os passou por uma cadeia de ferramentas de bastidores para convertê-los em JPEGs padrão. Sua primeira parada foi o ImageMagick, um utilitário de código aberto usado para redimensionar imagens. Como o kit de ferramentas usual do ImageMagick não consegue lidar com o formato da Apple, ele entregou o arquivo para outra biblioteca chamada libheif para fazer a decodificação.

Enterrado dentro do libheif estava um bug de memória que expunha um caminho para um invasor obter suas próprias instruções. Nesse caso, alimentar a biblioteca com uma imagem especialmente criada fez com que ela calculasse mal onde uma imagem estava posicionada em cima da outra, o que foi suficiente para sequestrar o servidor.

O que pode ser desconfortável para a comunidade de segurança cibernética é que o bug já havia sido corrigido meses antes pelos desenvolvedores do libheif. Mas a correção nunca foi formalmente sinalizada como uma vulnerabilidade, o que significa que nunca recebeu um número CVE (vulnerabilidades e exposições comuns), a forma padrão da indústria de rastrear vulnerabilidades de segurança conhecidas. Hacktron diz que isso pode explicar por que o software usado pelo Discourse ainda estava executando a versão vulnerável.

Notavelmente, os pesquisadores disseram que o modelo Claude que estavam usando – uma versão especial do Opus 4.8 disponibilizada para pesquisadores de segurança cibernética – não conseguiu construir uma exploração funcional a princípio. Isso mudou da noite para o dia, quando a Anthropic lançou o Opus 5.

“O Opus 4.8 lutou em várias sessões para produzir uma exploração funcional”, escreveu Hacktron em um postagem no blog. “Poucas horas após o lançamento do Opus 5, tivemos o mesmo problema e ele foi bem-sucedido.”

Uma vez dentro do servidor Discourse, os pesquisadores encontraram outra falha que lhes permitiu assumir o controle das contas ChatGPT e Codex dos usuários, incluindo aquelas pertencentes a funcionários da OpenAI.

“Em seguida, assumimos a conta de um funcionário da OpenAI, cujo Codex estava conectado à organização Github da OpenAI”, escreveu Hacktron em seu resumo do evento.

Nesse ponto, os pesquisadores alertaram a OpenAI e também o Discourse, que emitiu uma correção em 27 de julho.

O incidente destaca onde a linha é traçada para as capacidades do modelo. Claude Opus 5, a versão que finalmente resolveu o bug, não enfrentou nenhuma restrição de exportação de segurança, ao contrário da versão mais recente do Mythos 5, que foi temporariamente bloqueada devido a preocupações sobre suas capacidades avançadas de hacking.

Esses são apenas os modelos fechados. Os modelos abertos estão cada vez mais alcançando a fronteira das capacidades cibernéticas. Por exemplo, a SaferAI, organização sem fins lucrativos de segurança de IA, descobriu recentemente que o GLM-5.2 da empresa chinesa Z.ai estava apenas alguns meses atrás do GPT-5.5 da OpenAI e do Claude Opus 4.7 da Anthropic.

Como fundador da Hacktron Mohan Pedhapati colocou no X: “A IA está reduzindo a quantidade de conhecimentos escassos necessários para desenvolver explorações. O trabalho que antes levava meses agora pode levar dias.”