Claude Opus 5 ajuda pesquisadores a invadir contas de funcionários da OpenAI em teste de segurança

Pesquisadores da empresa de segurança Hacktron usaram o Claude Opus 5, da Anthropic, para desenvolver uma cadeia de exploração que permitiu assumir contas do ChatGPT e Codex pertencentes a funcionários da OpenAI. A pesquisa combinou uma vulnerabilidade no software usado pelo fórum público da empresa com uma falha no sistema de autenticação da própria OpenAI.

A atividade ocorreu em um contexto autorizado de pesquisa de segurança, e não há indicação de que as vulnerabilidades tenham sido exploradas em ataques reais. Segundo a Hacktron, a equipe reportou as falhas à OpenAI, demonstrou o impacto por meio de um pull request inofensivo em um repositório interno e interrompeu os testes. O processo entre a análise inicial e o acesso ao ambiente interno levou menos de 72 horas.

A OpenAI corrigiu a vulnerabilidade aproximadamente 14 horas após receber o relatório, de acordo com os pesquisadores. Em 1º de setembro, a empresa pagou uma recompensa de US$ 6.500, esclarecendo que o valor estava relacionado à descoberta envolvendo seus próprios sistemas, e não aos testes realizados contra o Discourse, plataforma open source utilizada pelo fórum.

A cadeia começou no processamento de imagens HEIC e HEIF pelo Discourse. Os arquivos enviados ao fórum eram encaminhados ao ImageMagick, que utilizava a biblioteca libheif para decodificá-los. Uma vulnerabilidade rastreada como CVE-2026-32882 permitia manipular a memória do servidor por meio de uma imagem especialmente preparada.

Há diferenças na classificação técnica da falha. O advisory do Discourse descreve o impacto como execução remota de código (RCE) e atribui pontuação CVSS 8,8, enquanto registros da libheif e bancos de vulnerabilidades descrevem a CVE originalmente como uma leitura fora dos limites capaz de provocar falhas ou expor conteúdo da memória. Segundo os pesquisadores, diferentes problemas de memória foram combinados para contornar proteções como ASLR e alcançar execução de código.

A correção já estava disponível na libheif 1.22.0 desde maio de 2026. No entanto, quando a Hacktron realizou os testes em julho, a imagem do servidor baseada no Debian 12 ainda utilizava a versão vulnerável 1.19.7. Isso criou uma situação em que a correção e a CVE eram públicas, mas a biblioteca empacotada no ambiente permanecia desatualizada.

Depois de comprometer o servidor do fórum, os pesquisadores conseguiram avançar por causa do mecanismo de Single Sign-On (SSO). O fórum oferecia a opção “Sign in with OpenAI”, compartilhando o sistema de autenticação usado por funcionários em outros serviços. A combinação permitiu assumir contas de ChatGPT e Codex de membros do fórum que trabalhavam na OpenAI, sem necessidade de interação das vítimas.

Segundo a Hacktron, o problema estava relacionado ao modelo de identidade da OpenAI e não especificamente ao Discourse. Em tese, qualquer serviço confiável integrado ao mesmo mecanismo de autenticação poderia ampliar o impacto de um comprometimento. A empresa não divulgou publicamente os detalhes técnicos da falha de login.

Durante o teste, os pesquisadores abriram a integração do Codex de um funcionário com um repositório interno, provocando a criação de um único pull request como prova de acesso. A equipe afirma que não leu código-fonte, não realizou merges, não implantou alterações e não acessou dados de clientes. Serviços conectados, como GitHub, Slack e e-mail, poderiam teoricamente ampliar o alcance, mas não foram explorados durante a pesquisa.

O papel da inteligência artificial foi particularmente relevante no desenvolvimento do exploit. Inicialmente, os pesquisadores utilizaram Claude Opus 4.8, mas o modelo teve dificuldades para produzir uma exploração funcional quando o ASLR estava habilitado. Após o lançamento do Claude Opus 5, em 24 de julho, uma nova sessão conseguiu produzir um exploit funcional em poucas horas.

Para contornar as proteções do modelo contra a geração de exploits direcionados a sistemas reais, os pesquisadores trabalharam contra um servidor de testes próprio, apresentado ao modelo como um ambiente de Capture the Flag (CTF), e executaram o processo em um loop automatizado. Apesar da participação da IA, a Hacktron ressalta que o trabalho ainda exigiu orientação humana especializada e não representou uma operação de hacking totalmente autônoma.

O caso fazia parte de uma pesquisa mais ampla chamada HEIF Heist. Ao longo de aproximadamente dois meses, a equipe investigou vulnerabilidades semelhantes no processamento de imagens em softwares utilizados por grandes empresas, gastando menos de US$ 3 mil em serviços de IA. Algumas das descobertas foram relacionadas a produtos e plataformas como Slack, Meta, GitHub Enterprise e Next.js, embora nem todas as alegações de execução de código tenham sido confirmadas independentemente.

A pesquisa também evidencia dois pontos de atenção: componentes de processamento de imagens desatualizados podem ampliar a superfície de ataque, enquanto serviços públicos de menor confiança integrados ao mesmo SSO de sistemas sensíveis podem transformar um comprometimento inicialmente limitado em acesso a contas com privilégios mais relevantes. Até meados de setembro, não havia evidências públicas de exploração das falhas contra usuários em ataques reais.