O Claude da Anthropic foi usado para invadir a OpenAI

Num desenvolvimento que sublinha a paisagem em evolução da segurança de IA, investigadores independentes utilizaram o Claude da Anthropic para violar a OpenAI, revelando vulnerabilidades nas defesas do criador do ChatGPT, conforme noticiado pelo The Wall Street Journal na quinta-feira.

Uma equipa de três membros da Hacktron AI executou a exploração no âmbito do programa de recompensas por falhas de segurança da OpenAI. Após reportarem as suas descobertas, a startup recebeu uma recompensa de 6.500 dólares. Ao encadear duas vulnerabilidades críticas, a equipa obteve acesso a múltiplas contas do ChatGPT de funcionários da OpenAI, penetrando assim na infraestrutura de software interna da empresa.

A OpenAI afirma que as vulnerabilidades identificadas pela Hacktron foram resolvidas, uma medida que coincide com um escrutínio crescente sobre as principais empresas de IA relativamente aos protocolos de segurança.

Este evento segue incidentes recentes em que os próprios agentes de IA da OpenAI violaram a contenção durante avaliações de cibersegurança e hackearam a Hugging Face, destacando a autonomia crescente dos modelos de IA. Demonstra também como a tecnologia comercial pronta para uso pode ser utilizada para identificar fraquezas em infraestruturas corporativas mesmo as mais avançadas.

“Por apenas 200 dólares por mês, qualquer pessoa pode utilizar estas ferramentas para hackear uma empresa como a OpenAI”, disse Matt Fredrikson, CEO da empresa de segurança de IA Gray Swan, à TechCrunch. “Se isso pode acontecer a eles — e não acredito que tenham sido negligentes na sua higiene de cibersegurança recentemente — pode acontecer a qualquer um.”

Como observou um comentador de IA nas redes sociais: “[Hacktron] utilizou o Opus 5 para executar o hack… A questão premente é: se estas três pessoas conseguem alcançar isto, o que poderá ser capaz de fazer um Estado-nação.”

Os investigadores identificaram um ponto de entrada na OpenAI em 25 de julho através de uma falha no Discourse, o software de terceiros que alimenta o fórum da comunidade da OpenAI.

De acordo com um artigo de blogue dos investigadores, o vetor inicial foi um upload de imagem rotineiro. Quando os utilizadores submetiam ficheiros de imagem HEIF ou HEIC (o formato padrão para iPhones) ao fórum, o Discourse processava-nos através de uma série de ferramentas de backend para os converter em JPEGs padrão. O primeiro passo envolvia o ImageMagick, uma ferramenta de código aberto de longa data para redimensionamento de imagens. Como o kit de ferramentas padrão do ImageMagick não consegue lidar com o formato da Apple, delegava a tarefa de descodificação a outra biblioteca, a libheif.

Escondida na libheif estava uma falha de memória que permitia a um atacante injetar instruções maliciosas. Ao alimentar a biblioteca com uma imagem especialmente elaborada, os investigadores fizeram com que ela calculasse incorretamente o posicionamento de uma imagem sobre outra, o que, em última análise, lhes permitiu sequestrar o servidor.

O que pode preocupar a comunidade de cibersegurança é que este bug já tinha sido corrigido pelos desenvolvedores da libheif meses antes. No entanto, a correção nunca foi formalmente designada como uma vulnerabilidade, o que significa que não recebeu um número CVE (Vulnerabilidades e Exposições Comuns), o padrão da indústria para rastrear falhas de segurança conhecidas. A Hacktron sugere que esta omissão pode explicar por que razão o Discourse ainda estava a executar a versão vulnerável do software.

É notável que os investigadores tenham relatado que o modelo Claude que estavam a utilizar — uma versão especializada do Opus 4.8 fornecida para investigadores de cibersegurança — inicialmente falhou na geração de uma exploração funcional. Isto mudou durante a noite após o lançamento do Opus 5 pela Anthropic.

“O Opus 4.8 teve dificuldades em várias sessões para produzir uma exploração funcional”, escreveu a Hacktron num artigo de blogue. “Dentro de horas do lançamento do Opus 5, demos-lhe o mesmo problema e ele teve sucesso.”

Uma vez dentro do servidor Discourse, os investigadores descobriram outra falha que lhes permitiu tomar o controlo das contas ChatGPT e Codex dos utilizadores, incluindo as pertencentes a funcionários da OpenAI.

“Em seguida, assumimos o controlo da conta de um funcionário da OpenAI, cuja ferramenta Codex estava ligada à organização Github da OpenAI”, escreveu a Hacktron no seu resumo do incidente.

Nesta fase, os investigadores notificaram tanto a OpenAI como o Discourse, tendo este último emitido uma correção em 27 de julho.

Este incidente destaca os limites das capacidades dos modelos. O Claude Opus 5, a versão que explorou com sucesso o bug, não está sujeito a restrições de exportação de segurança, ao contrário do mais recente Mythos 5, que foi temporariamente restringido devido a preocupações sobre o seu potencial avançado de hacking.

Estes são apenas modelos fechados. Os modelos de peso aberto estão a fechar cada vez mais a lacuna nas capacidades cibernéticas com os modelos de fronteira. Por exemplo, a organização sem fins lucrativos de segurança de IA SaferAI descobriu recentemente que o GLM-5.2 da empresa chinesa Z.ai estava apenas alguns meses atrás do GPT-5.5 da OpenAI e do Claude Opus 4.7 da Anthropic em termos de capacidades cibernéticas.

Como afirmou o fundador da Hacktron, Mohan Pedhapati, no X: “A IA está a reduzir a quantidade de experiência escassa necessária para desenvolver explorações. O trabalho que antes levava meses pode agora ser realizado em dias.”