Pesquisadores usaram o Claude para invadir contas da OpenAI em menos de 72 horas

Uma equipe de três pesquisadores de segurança independentes da Hacktron afirma ter levado menos de 72 horas para invadir contas de funcionários da OpenAI usando o Claude Opus 4.8 e o Claude Opus 5, os modelos da Anthropic. A informação foi revelada originalmente pelo Wall Street Journal e detalhada pelo The Verge.

O que os pesquisadores conseguiram acessar

O grupo chegou ao repositório “Monorepo” da OpenAI no GitHub, que, segundo fontes do WSJ, contém “os segredos algorítmicos” da empresa. Os pesquisadores afirmam ter parado antes de acessar o código interno em si, mas enviaram um pull request a partir da conta Codex de um funcionário justamente para provar que haviam obtido acesso.

A porta de entrada não foi uma falha em um modelo de IA, e sim um problema no Discourse, o serviço de terceiros que hospeda os fóruns da comunidade da OpenAI. A equipe explorou uma vulnerabilidade no sistema de processamento de imagens HEIF do Discourse para obter execução remota de código (RCE).

Um ataque de 72 horas movido a IA

Segundo a Hacktron, o Claude Opus 5 foi lançado na noite de 24 de julho. Já às 10h da manhã do dia seguinte, o time havia usado o modelo para alcançar RCE no Discourse Cloud e acessado a instância da OpenAI.

O projeto, batizado de “HEIF Heist”, levou “apenas um ou dois dias” para ser adaptado a diferentes empresas, incluindo OpenAI, Slack, Meta, GitHub Enterprise, Rails, Next.js e ImageMagick. O custo em tokens ficou abaixo de US$ 3.000 — e, até onde a equipe sabe, o único alvo que detectou a intrusão foi o Shopify.

Por que isso importa

As vulnerabilidades reportadas ao Discourse e à OpenAI já foram corrigidas, e a OpenAI pagou US$ 6.500 à Hacktron pelo achado. Ainda assim, o episódio expõe um padrão que preocupa a indústria: agentes de IA poderosos reduzem drasticamente a barreira de entrada para ataques sofisticados. O que antes exigia equipes especializadas e semanas de trabalho agora pode ser feito por três pessoas em poucos dias, com poucos milhares de dólares em tokens.

O CTO da Hacktron, Mohan Pedhapati, reconheceu o alcance limitado do feito ao WSJ ao dizer que não acha que a equipe seja “tão forte quanto atores de ameaça chineses” — um indício de que grupos mais sofisticados já operam nesse nível há mais tempo.