Hackers indianos usaram o Claude para invadir o ChatGPT — e receberam R$ 33 mil por isso

RESUMO ＋

Três pesquisadores da Hacktron AI usaram o Claude Opus 5 para explorar falhas e acessar contas de funcionários e um repositório privado da OpenAI, segundo o Wall Street Journal. A equipe gastou menos de US$ 3 mil em tokens, abriu um pull request inofensivo como prova e recebeu US$ 6.500 da OpenAI.

Um trio de pesquisadores de segurança indianos usou o Claude, modelo de inteligência artificial (IA) da Anthropic, para invadir os sistemas internos da OpenAI — e a dona do ChatGPT pagou US$ 6.500 (cerca de R$ 33 mil na cotação atual) de recompensa pelo achado, segundo reportagem do Wall Street Journal.

A equipe, formada por Harsh Jaiswal, Mohan Pedhapati e Rahul Maini, da startup de cibersegurança Hacktron AI, gastou menos de US$ 3 mil em tokens de IA para encadear duas falhas de software e conseguir acesso às contas de ChatGPT de funcionários da OpenAI e ao repositório interno de código da empresa no GitHub.

A porta de entrada foi uma vulnerabilidade conhecida como heap buffer overflow na libheif, biblioteca de código aberto usada pelo fórum Discourse para decodificar imagens nos formatos HEIC e HEIF.

Os servidores do Discourse rodavam uma versão desatualizada e vulnerável da biblioteca. A equipe começou a analisar o pipeline de imagens do Discourse em 23 de julho; um dia depois, já tinha um exploit funcional — mas só conseguia executá-lo com a proteção de segurança ASLR (randomização de endereços de memória) desativada, o que tornaria o ataque muito mais difícil de reproduzir em um cenário real.

É aqui que a história fica desconfortável para a Anthropic. O Claude Opus 4.8 passou várias sessões tentando construir um exploit capaz de driblar o ASLR e falhou repetidamente. Na noite de 24 de julho, a Anthropic lançou o Opus 5 — e o novo modelo conseguiu o que o anterior não tinha conseguido, permitindo à equipe avançar com o ataque.

Da conta de um funcionário ao código-fonte 'secreto' da OpenAI

Com acesso à conta comprometida de ChatGPT e Codex de um funcionário da OpenAI, os pesquisadores conseguiram chegar ao repositório privado de código da empresa no GitHub, batizado internamente de "Monorepo" — descrito por fontes ouvidas pelo WSJ como o verdadeiro "molho secreto" que faz os modelos da OpenAI rodarem mais rápido.

Em vez de vasculhar o código sensível, a equipe usou o acesso apenas para abrir um pull request inofensivo, de número 1186742, dentro do repositório interno — só para provar que a porta estava, de fato, aberta.

"Somos só três caras com assinaturas do Claude e do Codex", disse Mohan Pedhapati, da Hacktron AI, ao WSJ. Segundo os próprios pesquisadores, todo o processo levou "poucos dias de trabalho do agente de IA, e apenas algumas horas de tempo humano" para ser concluído.

Parte de uma campanha maior, batizada de "HEIF Heist"

A invasão à OpenAI foi apenas um capítulo de uma pesquisa mais ampla da Hacktron AI, batizada de "HEIF Heist", voltada a investigar vulnerabilidades na forma como diversos softwares e serviços processam determinados arquivos de imagem.

Segundo a equipe, a mesma técnica já havia encontrado falhas em plataformas como Slack, Zoom e Meta — todo o projeto levou dois meses, envolveu três pesquisadores e custou menos de US$ 3 mil em tokens de IA no total.

Em nota de conclusão do relatório, os pesquisadores resumiram o que consideram a lição central do caso.

"O software sempre se beneficiou de uma espécie de segurança pela complexidade [...] A IA está removendo essa proteção, transformando parte dessa expertise escassa em poder computacional. Trabalho que antes exigia uma equipe bem financiada e meses de esforço agora pode ser comprimido em dias [...] As premissas de segurança precisam alcançar a capacidade dos atacantes", disseram.

Um ciclo de invasões que já preocupa a própria indústria

O caso é o mais recente de uma sequência de incidentes de segurança envolvendo — e cometidos por — OpenAI e Anthropic, já divulgados publicamente pelas próprias empresas.

Ambas vêm defendendo publicamente a criação de salvaguardas de segurança que permitam à IA continuar avançando em um ritmo que ainda dê tempo para humanos revisarem riscos antes que novos modelos cheguem ao público — debate que ganhou força nas últimas semanas, incluindo o pedido do CEO da Anthropic, Dario Amodei, por uma desaceleração coordenada no desenvolvimento de IA de fronteira.

Perguntas frequentes

Quem usou o Claude para invadir os sistemas da OpenAI? ＋

Harsh Jaiswal, Mohan Pedhapati e Rahul Maini, pesquisadores da startup indiana Hacktron AI, usaram o Claude para explorar os sistemas da OpenAI. Segundo o Wall Street Journal, a equipe acessou contas de funcionários e um repositório privado da empresa no GitHub.

Qual falha permitiu o acesso aos sistemas da OpenAI? ＋

A porta de entrada foi uma falha de heap buffer overflow na libheif, biblioteca usada pelo Discourse para processar imagens HEIC e HEIF. Os servidores utilizavam uma versão desatualizada e vulnerável da biblioteca.

Como o Claude ajudou os pesquisadores da Hacktron AI? ＋

O Claude ajudou a desenvolver um exploit capaz de contornar a proteção ASLR. O Claude Opus 4.8 falhou após várias tentativas, mas o Opus 5 conseguiu superar o obstáculo após seu lançamento, na noite de 24 de julho.

Os pesquisadores acessaram o código-fonte da OpenAI? ＋

Os pesquisadores chegaram ao repositório privado “Monorepo” da OpenAI, descrito por fontes ouvidas pelo Wall Street Journal como parte central da infraestrutura da empresa. A equipe afirma que não examinou o código sensível e abriu apenas o pull request inofensivo 1186742 para comprovar o acesso.

Quanto a OpenAI pagou pela descoberta da falha? ＋

A OpenAI pagou US$ 6.500, cerca de R$ 33 mil, como recompensa pela descoberta, segundo o Wall Street Journal. Os pesquisadores afirmam que todo o projeto custou menos de US$ 3 mil em tokens de inteligência artificial.

O que foi a pesquisa HEIF Heist? ＋

HEIF Heist foi uma pesquisa da Hacktron AI sobre falhas no processamento de arquivos de imagem por diferentes serviços. Segundo a equipe, o projeto durou dois meses, envolveu três pesquisadores e também identificou vulnerabilidades em plataformas como Slack, Zoom e Meta.