Rafael NazarPesquisadores independentes de segurança usaram o Claude, da Anthropic, para explorar uma falha e obter acesso a sistemas internos da OpenAI, segundo informações do The Wall Street Journal. A ação permitiu que a equipe acessasse a conta de um funcionário da empresa no ChatGPT, lesse arquivos e sugerisse alterações em um repositório privado de software.
O episódio foi identificado por uma equipe da Hacktron AI, que participava do programa de recompensas da própria OpenAI. A iniciativa oferece proteção a pesquisadores que buscam vulnerabilidades nos sistemas da companhia. Após comunicar a descoberta à OpenAI, o grupo recebeu US$ 6,5 mil, cerca de R$ 34,7 mil, como recompensa.
O caso se soma a uma série recente de incidentes envolvendo o uso de ferramentas de inteligência artificial em invasões digitais. Também ocorre em meio ao debate sobre os riscos de sistemas capazes de auxiliar pessoas com diferentes níveis de conhecimento técnico a explorar vulnerabilidades.
O ataque começou em 23 de julho, quando os pesquisadores encontraram uma falha na forma como o Discourse, serviço terceirizado usado para hospedar o fórum da comunidade da OpenAI, processava determinados arquivos de imagem.
A equipe tinha acesso a uma versão especial do Claude Opus 4.8, disponibilizada para profissionais qualificados de cibersegurança, e pediu ao sistema que produzisse um código para explorar a vulnerabilidade. A primeira tentativa não funcionou. Naquela noite, porém, a Anthropic lançou o Opus 5 e, no dia seguinte, o Claude encontrou uma forma de explorar a falha.
O código gerado pelo sistema permitiu acessar um servidor do Discourse responsável pelos fóruns da OpenAI. A partir dele, os pesquisadores obtiveram tokens de autenticação de usuários, sequências de letras e números usadas para permitir o acesso a serviços online.
Alguns desses tokens também eram válidos no ChatGPT e pertenciam a funcionários da OpenAI. Eles ainda poderiam ser usados para acessar o GitHub da empresa, plataforma destinada ao armazenamento e à administração de código.
Os pesquisadores chegaram ao sistema de código da OpenAI conhecido como “Monorepo”. Conforme pessoas familiarizadas com a arquitetura da empresa ouvidas pelo Journal, trata-se de um grande repositório que reúne segredos algorítmicos da companhia, incluindo códigos que ajudam os modelos a operar com mais velocidade e eficiência.
O Monorepo, porém, não armazenaria os pesos dos modelos, considerados ainda mais sensíveis. Esses pesos são formados por trilhões de números que ficam no núcleo dos grandes modelos de linguagem e ajudam os sistemas a determinar quais informações devem ser ampliadas ou ignoradas.
Usando o ChatGPT como interface, os pesquisadores conseguiram ler arquivos armazenados no Monorepo. A equipe encerrou o ataque depois de perceber que havia acessado informações sensíveis, mas antes realizou uma ação para comprovar que havia alcançado o sistema.
Os pesquisadores instruíram o chatbot a criar um pull request, sugestão de alteração em um arquivo do repositório. A proposta modificaria um documento para incluir as palavras “Hacktron AI Team PoC” e um link para as contas no X de Mohan Pedhapati, diretor de tecnologia da Hacktron AI, e Harsh Jaiswal, chefe de pesquisa da empresa. Segundo os pesquisadores, a alteração não foi aceita.
A OpenAI afirmou que sua análise do GitHub identificou “leituras limitadas” de metadados de repositórios privados e alterações de código. A companhia disse ainda que foram encontradas duas falhas: uma no Discourse e outra relacionada à própria OpenAI.
“Agradecemos aos pesquisadores por entrarem em contato conosco e compartilharem suas descobertas. Reduzimos as permissões dos tokens de login da comunidade e revogamos os tokens e sessões afetados”, afirmou a OpenAI. O Discourse informou que corrigiu a vulnerabilidade em 25 de julho, no mesmo dia em que foi comunicado sobre o problema.
Para Mohan Pedhapati, o episódio mostra o potencial de equipes avançadas de cibersegurança apoiadas por Estados para acessar segredos relacionados à inteligência artificial. A preocupação ocorre em meio à disputa entre Estados Unidos e China pela liderança no desenvolvimento da tecnologia.
“Não acho que sejamos tão fortes quanto os agentes de ameaça chineses”, afirmou Pedhapati. “Somos apenas três caras com assinaturas do Claude e do Codex.”
Joshua Saxe, diretor de tecnologia da empresa de segurança de IA Abundant Security, analisou o relatório da Hacktron e disse que o caso evidencia a dificuldade crescente de proteger sistemas corporativos na era dos ataques auxiliados por inteligência artificial.
“O software do mundo está cheio de falhas de segurança. A razão pela qual não descobrimos todas elas é que, até o ano passado, havia apenas alguns milhares de pessoas especialistas em encontrar essas falhas”, afirmou Saxe. Segundo ele, agentes de IA estão tornando essa capacidade acessível a pessoas com menos conhecimento técnico.
A empresa de cibersegurança ThreatDown afirmou que criminosos também estão obtendo acesso a recursos semelhantes. De acordo com a companhia, é possível comprar em fóruns online acesso ilegal a contas com recursos aprimorados para atividades cibernéticas por cerca de US$ 800, aproximadamente R$ 4,3 mil.
O episódio envolvendo a OpenAI ocorreu duas semanas depois de uma série de agentes de IA escapar de mecanismos de contenção e atacar a empresa Hugging Face. Os incidentes surgem enquanto executivos do setor discutem a necessidade de reduzir o ritmo de desenvolvimento da tecnologia.
No sábado (12), Sam Altman, da OpenAI, e outros líderes do setor defenderam uma pausa no avanço da inteligência artificial. Eles argumentaram que o desenvolvimento está ocorrendo rápido demais para que as empresas consigam reduzir os riscos de forma segura. Na quarta-feira (16), a OpenAI também revelou incidentes de segurança que não haviam sido divulgados anteriormente e anunciou novas regras para comunicar ocorrências desse tipo.
Após o ataque contra a Hugging Face e a ação dos pesquisadores da Hacktron, a OpenAI iniciou uma auditoria de segurança em seus sistemas. Greg Brockman, presidente e cofundador da empresa, afirmou que uma parcela significativa dos engenheiros foi mobilizada para a tarefa.
“Nós pegamos 25% dos nossos engenheiros de produção e dissemos: ‘Desculpem, todos os seus projetos estão suspensos. Agora vocês estão na defesa’”, afirmou Brockman. Segundo ele, a revisão encontrou “uma série de problemas sérios”, que foram posteriormente corrigidos.
