Claude Opus 5 auxilia pesquisadores a acessar contas de funcionários da OpenAI em teste autorizado
Pesquisadores da empresa de segurança Hacktron demonstraram como uma combinação de falhas poderia levar ao comprometimento de contas corporativas da OpenAI. Com auxílio do Claude Opus 5, da Anthropic, a equipe desenvolveu uma cadeia de exploração que permitiu assumir perfis de funcionários usados no ChatGPT e no Codex.
O experimento ocorreu dentro de um programa autorizado de pesquisa de segurança. Não há evidências de que as vulnerabilidades tenham sido utilizadas por criminosos ou em ataques reais. Assim que comprovou o impacto, a Hacktron comunicou a OpenAI, realizou apenas uma demonstração controlada e encerrou os testes.
A sequência completa, desde a análise inicial até a obtenção de acesso ao ambiente interno, foi concluída em menos de 72 horas. Segundo os pesquisadores, a OpenAI corrigiu o problema cerca de 14 horas depois de receber o relatório. Em 1º de setembro, a companhia pagou uma recompensa de US$ 6.500, referente à falha identificada em seus próprios sistemas, e não ao defeito encontrado no Discourse, plataforma de código aberto usada no fórum.
A origem do ataque estava no processamento de imagens
A primeira etapa explorava o tratamento de arquivos HEIC e HEIF enviados ao fórum. O Discourse encaminhava essas imagens ao ImageMagick, que dependia da biblioteca libheif para realizar a decodificação. Uma falha identificada como CVE-2026-32882 permitia manipular a memória do servidor por meio de um arquivo especialmente construído.
A descrição técnica da vulnerabilidade varia conforme o registro consultado. O alerta do Discourse classificou o problema como uma possível execução remota de código e atribuiu pontuação CVSS 8,8. Já os registros da libheif e de bancos especializados a descrevem originalmente como uma leitura além dos limites da memória, capaz de provocar falhas ou revelar dados armazenados no processo.
De acordo com a Hacktron, a exploração exigiu a combinação de diferentes problemas de memória. Essa abordagem permitiu superar mecanismos de proteção, incluindo o ASLR, técnica que dificulta a previsão dos endereços utilizados pelos componentes de um programa. O objetivo foi transformar uma falha inicialmente limitada em uma condição capaz de executar código no servidor.
Um aspecto importante foi a diferença entre a disponibilidade da correção e sua aplicação efetiva. A libheif 1.22.0, que corrigia o defeito, estava disponível desde maio de 2026. Porém, durante os testes realizados em julho, a imagem baseada no Debian 12 ainda utilizava a versão 1.19.7, considerada vulnerável. O caso mostra que publicar um patch não é suficiente quando as imagens de produção continuam usando pacotes antigos.
SSO ampliou o alcance do comprometimento
Depois de obter controle do servidor do fórum, os pesquisadores analisaram o mecanismo de autenticação integrado. O site oferecia a opção “Sign in with OpenAI”, ligada ao mesmo sistema de identidade usado por funcionários em outros serviços da empresa.
Essa integração criou uma ponte entre o fórum e as contas corporativas. Com a combinação entre o comprometimento do servidor e uma falha no modelo de autenticação da OpenAI, a equipe conseguiu assumir contas de funcionários que participavam do fórum, sem exigir que as vítimas clicassem em links ou fornecessem credenciais.
A Hacktron afirma que o problema de identidade estava associado à própria OpenAI, e não especificamente ao Discourse. Em determinadas condições, qualquer aplicação considerada confiável e conectada ao mesmo sistema de login poderia representar um risco adicional caso fosse comprometida. Os detalhes técnicos da falha de autenticação não foram divulgados publicamente.
Para comprovar o acesso sem causar danos, os pesquisadores abriram a integração do Codex de um funcionário com um repositório interno. Em seguida, criaram apenas um pull request inofensivo. A equipe declarou que não leu código-fonte, não realizou alterações definitivas, não fez merge, não implantou modificações e não acessou informações de clientes.
Serviços conectados à identidade corporativa, como GitHub, Slack e e-mail, poderiam teoricamente aumentar o impacto de uma invasão desse tipo. No entanto, esses recursos não foram explorados durante o teste. A decisão demonstra a importância de limitar o escopo de pesquisas autorizadas e de interromper a atividade assim que a cadeia de ataque é comprovada.
O papel do Claude Opus 5
A inteligência artificial teve participação relevante na criação do exploit. Em uma etapa inicial, os pesquisadores utilizaram o Claude Opus 4.8, mas encontraram dificuldades para obter uma exploração funcional enquanto o ASLR permanecia ativado.
Após o lançamento do Claude Opus 5, em 24 de julho, a equipe iniciou uma nova sessão. Segundo o relato, o modelo ajudou a produzir uma versão funcional em poucas horas. Ainda assim, a Hacktron destacou que o resultado não foi fruto de uma operação totalmente autônoma: especialistas humanos definiram os objetivos, ajustaram os testes, interpretaram os resultados e controlaram o ambiente.
Para evitar que as proteções do modelo impedissem a criação de um exploit direcionado a sistemas reais, os pesquisadores reproduziram o cenário em um servidor próprio. O ambiente foi apresentado à inteligência artificial como um desafio de Capture the Flag, ou CTF, e o processo foi executado em um ciclo automatizado de tentativas, análise e correções.
A estratégia evidencia uma mudança no desenvolvimento de ferramentas ofensivas. Modelos de IA podem acelerar tarefas como leitura de código, identificação de padrões de memória, criação de testes e depuração de exploits. Contudo, eles ainda dependem de contexto técnico, validação humana e ambientes controlados para produzir resultados confiáveis.
Uma pesquisa mais ampla sobre arquivos de imagem
O episódio fez parte do projeto HEIF Heist, investigação conduzida ao longo de aproximadamente dois meses. O objetivo era avaliar vulnerabilidades em componentes responsáveis por processar imagens dentro de serviços utilizados por grandes organizações.
A Hacktron afirma ter gasto menos de US$ 3 mil em serviços de inteligência artificial durante o trabalho. A equipe também relacionou descobertas a produtos e plataformas como Slack, Meta, GitHub Enterprise e Next.js. Entretanto, nem todas as alegações de execução remota de código foram confirmadas de forma independente.
O caso reforça a necessidade de manter bibliotecas atualizadas mesmo quando elas estão incorporadas a imagens de contêiner, sistemas operacionais ou pacotes internos. Inventários de software, varreduras contínuas e reconstruções frequentes das imagens podem reduzir o período em que uma versão vulnerável permanece ativa.
Também é fundamental revisar integrações de login único. O SSO melhora a experiência dos usuários, mas uma configuração excessivamente permissiva pode transformar um serviço secundário em porta de entrada para recursos críticos. Organizações devem aplicar autenticação multifator, restringir escopos, validar redirecionamentos e separar identidades administrativas das contas usadas em aplicações públicas.
Outro ponto envolve a revogação de sessões. Quando uma aplicação integrada é comprometida, tokens, cookies e autorizações previamente emitidos precisam ser invalidados rapidamente. A ausência desse procedimento pode permitir que o invasor continue acessando sistemas mesmo após a correção da vulnerabilidade original.
Por fim, o episódio mostra que a segurança depende tanto da correção do software quanto da gestão operacional. Uma falha conhecida na libheif continuou exposta porque o ambiente ainda usava uma versão antiga. A combinação entre atualização de dependências, isolamento de serviços, monitoramento de acessos e programas responsáveis de recompensa é essencial para reduzir os efeitos de cadeias de exploração semelhantes.