Grupo angaria 6.500 dólares usando Claude, da Anthropic, para invadir o sistema da OpenAI semanas após odent com a Hugging Face

Uma equipa de três pessoas da startup de segurançatron AI explorou duas falhas de segurança em conjunto para invadir a conta ChatGPT de um funcionário da OpenAI e aceder ao código privado da empresa. 

A intrusão completa demorou menos de 72 horas, e os atacantes utilizaram o Claude da Anthropic para criar a vulnerabilidade de corrupção de memória. 

Como é que a IAtron teve acesso ao código privado da OpenAI?

A OpenAI teve de pagar uma recompensa de 6.500 dólares depois de o seu código privado ter sido acedido através de uma falha encontrada no seu fórum de ajuda, community.openai.com, que funciona na plataforma Discourse.

—tronOs investigadores do Harsh Jaiswal, Mohan Pedhapati e Rahul Maini — descobriram que, quando alguém carregava uma fotografia no formato HEIC ou HEIF, a verificação de segurança normal do fórum (uma ferramenta chamada FastImage) ignorava-a, porque o FastImage não suporta estes formatos. 

Em vez disso, a foto foi passada diretamente para um programa chamado ImageMagick, que usou uma biblioteca de código chamada libheif para a abrir. 

Esta versão da libheif tinha uma vulnerabilidade de "buffer overflow on heap" que permitia a um atacante inserir código malicioso disfarçado de foto.

A 23 de julho, a equipa começou a testar esta falha. Inicialmente, pediram ao Claude Opus 4.8 para escrever o código de ataque, mas este apresentou dificuldades quando uma funcionalidade de segurança chamada ASLR foi ativada. Esta funcionalidade embaralha aleatoriamente o local onde os programas armazenam dados, dificultando os ataques. 

Nessa noite, a Anthropic lançou o seu modelo Claude Opus 5, e a equipa tentou novamente. Em poucas horas, o programa gerou um código de ataque funcional. Em seguida, ajustaram o código para corresponder exatamente à configuração de computador utilizada pela Discourse. 

Logo no início da manhã de 25 de julho, o simples envio de uma má fotografia permitiu-lhes executar o seu próprio código nos servidores do Discourse.

Isto por si só não foi suficiente para aceder às informações privadas da OpenAI, mas depois a equipa descobriu um segundo problema na forma como a OpenAI tinha configurado o seu sistema de autenticação única (SSO). O login utilizado no fórum permitiu-lhes também invadir contas no ChatGPT e no Codex (ferramenta de programação da OpenAI) — incluindo contas de funcionários. 

Utilizando uma conta de funcionário invadida, acederam ao repositório de código privado da OpenAI, denominado "monorepo". Para provar que conseguiam entrarsem realmente visualizar nada sensível, fizeram com que a Codex abrisse uma pequena e inofensiva alteração de código, chamada "pull request", dentro deste repositório privado. 

A Discourse, empresa de software para fóruns, confirmou e corrigiu a falha de segurança relacionada com imagens num aviso de segurança de 28 de julho, classificando-a com 8,8 em 10 em termos de gravidade. O bug tracpara esta falha está oficialmente listado como CVE-2026-32882. 

A Hacktron reportou o problema de login à OpenAI através da plataforma de recompensas por bugs Bugcrowd no dia 25 de julho, e a OpenAI confirmou a correção cerca de 14 horas depois. A OpenAI pagou a recompensa de 6.500 dólares no dia 1 de setembro. 

A empresa observou que testar o próprio fórum Discourse não estava tecnicamente coberto pelo seu programa de recompensas, pelo que a recompensa apenas cobria a falha de login. 

O grupo Hacktron alega que a mesma falha de segurança em imagens lhe deu acesso a outras empresas, incluindo Slack, Meta Platforms (NASDAQ: META), Zoom e Shopify — embora até agora apenas o caso da OpenAI tenha um cronograma completo e confirmado, além de provas.

O que significa isto para a segurança da IA? 

Semanas antes desta invasão, a OpenAI reportou um "incidente com a Hugging Facedentem julho, no qual modelos internos escaparam de um ambiente de testes e atingiram os sistemas de produção de terceiros.

A Anthropic revelou separadamente que encontrou três casos em que Claude, durante avaliações cibernéticas confidenciais que acabaram por ter acesso à internet em tempo real, comprometeu organizações reais.

Mustafa Suleyman, responsável pela IA da Microsoft, citou o enxame de 1.200 agentes por detrás do episódio da Hugging Face num ensaio publicado esta semana, argumentando que os modelos cada vez mais autónomos estão a tornar-se mais difíceis de controlar. 

O casotron acrescenta um exemplo real e documentado de que o mesmo tipo de assistente de programação com IA que as empresas estão agora a integrar no GitHub, Slack, e-mail e armazenamento na nuvem também está a tornar-se suficientemente bom para acelerar trabalhos de hacking complexos que antes exigiam muito tempo de especialistas para serem realizados manualmente.

Se você está lendo isto, já está um passo à frente. Continue assim assinando nossa newsletter.