Os “White Hats” usaram o Claude, da Anthropic, para invadir a OpenAI em 72 horas

A cadeia, elo por elo

Uma biblioteca “libheif” vulnerável dentro do Discourse, o software de fórum, permitiu a execução remota de código (RCE) no próprio fórum. A partir daí, a equipe aproveitou uma falha no fluxo de login único (SSO) da OpenAI, assumiu o controle da conta de um funcionário no ChatGPT e acessou o ambiente Codex vinculado à organização da OpenAI no GitHub.

Isso abriu o monorepo openai/openai, de onde os pesquisadores (afiliados à startup de segurança Hacktron AI) abriram uma solicitação de pull inofensiva para provar que estavam dentro do sistema, sem chegar a examinar o código-fonte confidencial.

O trabalho ocorreu no final de julho; a equipe relatou os desdobramentos por meio do programa Bugcrowd da OpenAI em 25 de julho, e a vulnerabilidade foi corrigida no mesmo dia; A Discourse publicou seu comunicado em 28 de julho com uma classificação de gravidade de 8,8 no Sistema Comum de Pontuação de Vulnerabilidades (CVSS), e tudo só veio a público em 17 de setembro, quando o Wall Street Journal divulgou a notícia.

Bastou uma mudança no modelo

O interessante não é que a OpenAI tivesse um bug, pois toda empresa de software se depara com eles de vez em quando. O que importa é o que preencheu a lacuna entre encontrar um bug e transformá-lo em arma.

A equipe tentou primeiro o Claude Opus 4.8, mas considerou-o pouco confiável para a tarefa. Em seguida, mudaram para o Claude Opus 5, lançado em 24 de julho, e produziram uma exploração funcional para ARM64 em poucas horas, adaptando-a depois para os ambientes x86-64 e jemalloc. O desenvolvimento de exploits de corrupção de memória é um trabalho especializado que, historicamente, levava semanas para ser realizado por profissionais qualificados, mas, neste caso, toda a sequência de eventos se desenrolou em menos de três dias.

Implicações para o setor de criptomoedas

É no mundo das criptomoedas que essa proficiência digital pode se traduzir em dinheiro, em vez de uma simples solicitação de pull. Em termos numéricos, a Chainalysis informou esta semana que invasores em todo o mundo estão publicando instruções de malware em blockchains públicas com uma frequência 440% maior do que há um ano, com as gravações maliciosas diárias na cadeia subindo de 2,06 para 11,1.

A empresa atribuiu esse aumento ao meio de 2025, quando modelos chineses de código aberto foram lançados sem proteções significativas contra a gravação de código malicioso, e chamou a técnica de “dead drops” na blockchain, ou seja, instruções de comando e controle armazenadas em um livro-razão que ninguém pode apreender ou tirar do ar. No segundo trimestre de 2026, operadores ligados ao Estado da Coreia do Norte e do Irã eram responsáveis por cerca de dois terços das novas atividades e por aproximadamente metade do total.

Pesquisadores que rastreavam o grupo norte-coreano Kimsuky descobriram plataformas locais de grandes modelos de linguagem (LLM), incluindo Ollama, GPT4All e Msty, instaladas na infraestrutura do grupo, juntamente com iscas de phishing geradas por IA voltadas para alvos de ativos virtuais e investimentos financeiros. A Blockaid contabilizou 212 explorações na cadeia de blocos no valor de US$ 1,1 bilhão, à medida que os ataques de IA e a carteiras se aceleravam, e a Defillama registrou abril de 2026 como o mês com mais ataques à criptografia já registrado, com 30 incidentes.

Aqueles que se defendem desses ataques estão sentindo a pressão cada vez mais forte, com a Coinbase alertando recentemente que os relatórios de bugs podem triplicar no futuro próximo, à medida que a IA inunda os programas de divulgação com ruído — o que é a consequência incômoda de uma recompensa de US$ 6.500 ser suficiente para revelar uma cadeia de três etapas a um grande laboratório.

De qualquer forma, o desenvolvimento de exploits está se tornando um importante serviço de mercado e, se os números servirem de referência, sua prevalência só vai continuar aumentando.