Hacktron AI usa o Claude Opus 5 para explorar a vulnerabilidade de segurança da OpenAI

OpenAI foi realmente "hackeado" pelo modelo Claude!

Uma equipe de segurança de apenas três pessoas, usando o Claude, comprometeu a conta do ChatGPT de um funcionário da OpenAI em menos de 72 horas, obtendo acesso aos repositórios privados internos da OpenAI.

E o que eles gastaram foi apenas uma assinatura de alguns dólares do Opus 5.

Este é mais um caso épico de vulnerabilidade no sistema.

Isso também é um humor muito negro.

Há pouco tempo, uma equipe de segurança startup chamada Hacktron AI participou do programa de recompensa por vulnerabilidades da OpenAI.

A arma definitiva que eles usaram é o Opus 5, recém-lançado pela Anthropic.

Ninguém esperava que o sucesso fosse tão fácil.

Essa equipe de três pessoas conseguiu obter o controle das contas do ChatGPT e do Codex de um funcionário interno da OpenAI, utilizando o Opus 5 sem nenhuma proteção!

Em seguida, eles entraram com audácia na área mais confidencial da OpenAI — o repositório interno monolítico que contém os algoritmos principais e o código proprietário.

Para provar que estiveram lá, a equipe fez algo provocativo.

Eles usaram a conta Codex de um funcionário da OpenAI para enviar um PR inofensivo no repositório interno de código.

Após receber o relatório, a equipe de segurança da OpenAI ficou em pânico e corrigiu urgentemente a vulnerabilidade em 14 horas, pagando uma recompensa de US$ 6.500 à equipe de três pessoas.

Assim que a notícia foi divulgada, a indústria ficou chocada: “Absurdo! A sede da OpenAI foi invadida pela concorrência!”

Alguém fez uma pergunta profunda: “Se três pessoas comuns mais uma assinatura do Claude conseguem chegar a esse ponto, o que os hackers da equipe nacional poderiam fazer com IA?”

Essa campanha relâmpago de menos de 72 horas apresentou uma cadeia de ataque da equipe cheia de arte.

Eles não recorreram à força bruta, mas, como os caçadores mais pacientes, avançaram passo a passo a partir de um canto mais discreto na periferia até alcançar o núcleo.

A cadeia de ataque inteira pode ser decomposta nos seguintes 9 elos fatais.

Find the Achilles' heel (community forum)

As defesas de segurança da OpenAI são impenetráveis; atacar diretamente os servidores principais é quase impossível.

Mas a equipe Hacktron descobriu uma brecha: o fórum comunitário usado pela OpenAI para comunicação com usuários (community.openai.com).

Este fórum é construído com o software de código aberto Discourse e permite "fazer login único com a conta OpenAI" (SSO).

Bomba-relógio oculta (vulnerabilidade libheif)

Ao analisar a função de upload de imagens no fórum, eles descobriram uma falha extremamente rara, mas fatal.

Normalmente, o fórum usa o FastImage para verificar imagens, mas ele não suporta o formato HEIF/HEIC comum da Apple. Assim, o sistema encaminha essas imagens para o ImageMagick processar, que por sua vez chama o decoder de imagem libheif subjacente.

O problema é que o sistema baseado na imagem do Debian 12 possui uma versão do libheif (1.19.7) que contém uma vulnerabilidade de transbordamento de buffer de heap.

Burlar os sistemas de segurança da IA, forjar uma arma divina

A equipe Hacktron não escreveu o código de exploração manualmente, mas usou o Claude Opus 5.

Para contornar o mecanismo de segurança do Opus 5 que recusa escrever código de ataque para alvos reais, eles usaram uma tática: disfarçaram seu servidor de teste como o domínio de um alvo em um CTF (Capture the Flag) (rce.ee/ctf-forum).

Opus 5, que pensava estar jogando um jogo, começou a atacar com tudo.

Fazer upload de "imagens tóxicas" para assumir o controle (RCE)

Eles fizeram o upload de uma imagem HEIF maliciosa cuidadosamente construída para o fórum. No momento em que a imagem foi processada em segundo plano, a vulnerabilidade de transbordamento foi acionada, permitindo que a equipe Hacktron obtivesse permissão de execução remota de código no ambiente do fórum da comunidade OpenAI.

Vulnerabilidade crítica de autenticação (SSO)

A invasão do fórum foi apenas o primeiro passo. Devido a uma falha na configuração de autenticação do OpenAI SSO (Single Sign-On), os tokens de identidade de qualquer usuário que tenha feito login no fórum podem ter sido roubados.

Comprometer contas internas de funcionários do ChatGPT/Codex

Por meio da vulnerabilidade de SSO acima, a equipe conseguiu assumir o controle das contas do ChatGPT e Codex de vários funcionários da OpenAI.

Seguir a pista até a fonte

Os funcionários da OpenAI geralmente integram profundamente o Codex com ferramentas internas de escritório e desenvolvimento, como GitHub, Slack e Outlook.

Intrusão no repositório de código interno

Usando contas de funcionários comprometidas, a equipe Hacktron entrou diretamente e obteve acesso ao repositório principal da OpenAI.

Deixe uma marca, oculte glória e mérito

Submeta o PR #1186742, depois pare todos os testes e envie o relatório de vulnerabilidade à OpenAI.

De uma imagem HEIC comum até o repositório interno e confidencial da OpenAI, esse caminho aparentemente impossível foi conquistado pelo Opus 5.

Se a vulnerabilidade em si for suficientemente sofisticada, então a velocidade de evolução da IA demonstrada neste ataque assusta todos os profissionais de segurança cibernética.

Dois dias antes do ataque, em 23 de julho deste ano, a equipe Hacktron já havia detectado essa vulnerabilidade.

Na época, eles estavam usando o modelo anterior da Anthropic, Claude Opus 4.8.

Em um ambiente de defesa padrão com ASLR ativado, o Opus 4.8 parece ter dificuldades.

ASLR, ou Address Space Layout Randomization, é um mecanismo de segurança que aumenta efetivamente a proteção do sistema ao randomizar os endereços das regiões de memória críticas durante o carregamento do processo.

A equipe tentou várias sessões, mas o Opus 4.8 nunca conseguiu gerar código de exploração estável.

O ponto de virada ocorreu na noite de 24 de julho — a Anthropic lançou oficialmente o Claude Opus 5.

A equipe Hacktron, após obter a nova arma, imediatamente iniciou uma nova sessão do Opus 5.

Um milagre aconteceu: dentro das primeiras três horas, o Opus 5 conseguiu escrever código de ataque para a arquitetura ARM64 do Mac local.

Em seguida, a equipe solicitou que ele portasse o código para o ambiente x86-64 e o alocador de memória jemalloc usados pelo fórum Discourse.

Apenas uma noite depois, às 6h do dia 25 de julho, o Opus 5 confirmou a eficácia da RCE local por meio do upload de imagens.

Às 10h da manhã, o agente Opus 5 definido como meta de ciclo automático já havia comprometido com sucesso a instância na nuvem e lido os arquivos de nível inferior do sistema.

Vulnerabilidades que o modelo anterior não conseguia identificar foram diretamente decifradas e exploradas automaticamente no dia seguinte ao lançamento do novo modelo!

Um fato cruel é que o avanço das capacidades dos modelos de IA está reduzindo exponencialmente a barreira para ataques cibernéticos.

Em testes abrangentes subsequentes, a equipe descobriu até que, ao usar o modelo GPT-5.6 Sol atualizado, a IA consegue automaticamente realizar uma série completa de ações — incluindo vazamento de memória, elevação de privilégios, movimentação lateral e contornos de defesas existentes — mesmo em condições extremas de cegueira, onde não possui nenhum conhecimento sobre o sistema-alvo, apenas sabendo que existe uma vulnerabilidade.

Essa capacidade, no passado, pertencia apenas aos melhores hackers nacionais.

Você acha que apenas a OpenAI está tendo má sorte? Errado demais.

A equipe Hacktron denominou essa descoberta de "Grande Assalto HEIF".

O aspecto assustador dessa vulnerabilidade é que ela não é exclusiva da OpenAI, mas sim uma doença de dependências de código aberto em toda a infraestrutura da internet.

Todos os dias, fazemos o upload de imagens na internet, e a biblioteca open-source libheif, usada para analisar imagens HEIC/HEIF/AVIF, está amplamente incorporada em inúmeros aplicativos populares.

Mais incrédulo ainda, a correção de código para essa vulnerabilidade já havia sido feita em um branch da comunidade de código aberto no ano passado, mas, como não foi marcada como um patch de segurança (não atribuído um número CVE), inúmeros sistemas operacionais e softwares a jusante nem sequer sabiam sobre isso!

Durante uma investigação que se estendeu por meses, a equipe Hacktron utilizou IA como hackers automatizados para realizar uma "limpeza geral" contra gigantes da internet.

Eles descobriram: Slack, Zoom, Meta, GitHub... essas gigantes da tecnologia, tão conhecidas, quase todas foram comprometidas sempre que aceitavam upload de imagens!

Seja Ruby on Rails, seja frameworks populares como Next.js, Astro, Gatsby no ecossistema Node.js, sempre que essa biblioteca for chamada, quase pode ser controlada arbitrariamente.

O custo é ainda mais surpreendentemente baixo.

A equipe Hacktron afirmou que todo o projeto de pesquisa da "Grande Roubo do HEIF" levou dois meses e cobriu todos os gigantes mencionados acima. O custo total em tokens de modelo grande foi inferior a 3.000 dólares!

Para cada empresa de tecnologia diferente, a IA leva apenas um a dois dias para adaptar automaticamente as “imagens tóxicas” em armas de ataque personalizadas, conforme o ambiente da empresa-alvo.

Após lançar dezenas de milhares de imagens de teste, os processadores de imagem das principais empresas entraram em colapso repetidamente; apenas a Shopify percebeu a anomalia, enquanto todas as outras gigantes da internet permaneceram totalmente inconscientes!

Essa é a essência da vulnerabilidade da internet moderna: como a famosa tirinha xkcd satiriza, toda a infraestrutura digital moderna repousa frágilmente sobre pequenas bibliotecas de código aberto, mantidas por programadores desconhecidos e cheias de falhas.

Em seguida, eles relataram a vulnerabilidade ao Discourse e ao OpenAI.

Cerca de 14 horas após a primeira submissão do relatório, a OpenAI corrigiu o problema de login único (SSO). O Discourse também concluiu a correção.

O relatório de vulnerabilidade, com uma recompensa de apenas 6.500 dólares (cerca de 50.000 yuans chineses), está destinado a se tornar um ponto de virada na história da segurança cibernética.

Por muito tempo, a indústria de software desfrutou de um guarda-chuva invisível de proteção — a “segurança pela complexidade”.

No passado, mesmo que uma vulnerabilidade em um repositório de código aberto fosse divulgada e o código-fonte estivesse diretamente disponível, hackers comuns não conseguiam explorá-la.

Para transformar uma vulnerabilidade de corrupção de memória teórica em uma “arma” capaz de invadir servidores, são necessários conhecimentos especializados extremamente raros, grande investimento de tempo e engenharia reversa aprofundada do ambiente alvo.

No passado, essas armas de vulnerabilidade de nível superior, conhecidas como 0-Day, tinham custos de desenvolvimento extremamente altos e geralmente só eram utilizadas por equipes de hackers nacionais para atingir alvos de alto valor. Empresas comuns podiam contar com essa barreira de custo de ataque para obter segurança.

Mas a IA rasgou diretamente esse guarda-chuva protetor.

Hacktron escreveu no final do relatório:

A IA está eliminando essa proteção, transformando o conhecimento especializado em hacking, antes escasso, em capacidade de processamento barata. Ataques que antes exigiam uma equipe bem financiada gastando meses para serem concluídos agora são comprimidos para apenas alguns dias, ou até algumas horas.

Hoje, qualquer equipe de três pessoas que domine IA avançada sem barreiras pode liberar capacidades de penetração de segurança comparáveis às de uma equipe nacional.

Se a sua empresa ainda confia na ideia de que "os hackers não se importam conosco" como defesa, o próximo a ter seu repositório de código principal comprometido pode ser você.

Este artigo é do canal oficial do WeChat "Nova Inteligência" (ID: AI_era), autor: Apocalipse da ASI