Pesquisadores usam Claude da Anthropic para invadir sistemas internos da OpenAI
Pesquisadores independentes de segurança conseguiram explorar uma vulnerabilidade nos sistemas da OpenAI com o auxílio do Claude, modelo de inteligência artificial desenvolvido pela Anthropic, e acessaram códigos internos da empresa criadora do ChatGPT. O caso foi divulgado pelo The Wall Street Journal e representa mais um episódio que liga ferramentas de IA a ataques cibernéticos em larga escala.
A descoberta foi feita por uma equipe da Hacktron AI, que participava do programa de recompensas mantido pela própria OpenAI. Esse programa funciona como um porto seguro para pesquisadores que buscam identificar falhas de segurança nos sistemas da companhia. Após comunicarem o problema, os pesquisadores receberam US$ 6,5 mil, o equivalente a aproximadamente R$ 34,7 mil.
O ataque teve início em 23 de julho, quando os profissionais identificaram uma falha na forma como o Discourse, serviço de terceiros usado para hospedar o fórum de discussão da comunidade OpenAI, processava determinados arquivos de imagem. Para explorar a brecha, os pesquisadores contavam com uma versão especial do Claude Opus 4.8, disponibilizada pela Anthropic para profissionais qualificados de cibersegurança. Eles solicitaram ao sistema que escrevesse um código capaz de explorar a vulnerabilidade, mas a primeira tentativa não obteve sucesso.
Naquela mesma noite, porém, a Anthropic lançou o Opus 5. No dia seguinte, ao utilizarem a nova versão do modelo, os pesquisadores conseguiram encontrar uma maneira de explorar a falha. O código gerado pelo sistema permitiu o acesso a um servidor do Discourse responsável pelos fóruns da OpenAI, de onde foram extraídos tokens de autenticação, que são sequências únicas de letras e números usadas para permitir acesso a serviços online.
Para surpresa da equipe, alguns desses tokens também eram válidos no ChatGPT e pertenciam a funcionários da OpenAI. A partir deles, os pesquisadores conseguiram acessar o GitHub da empresa, plataforma usada para armazenar e administrar código-fonte. O acesso levou ao sistema conhecido como Monorepo, um grande repositório de software que concentra segredos algorítmicos da companhia. Segundo pessoas familiarizadas com a arquitetura interna ouvidas pelo Journal, o sistema funciona como uma espécie de receita secreta, reunindo códigos que tornam os modelos da empresa mais rápidos e eficientes. O Monorepo, no entanto, não armazena os chamados pesos dos modelos, formados por trilhões de números e considerados ainda mais sensíveis.
Usando o próprio ChatGPT como interface, os pesquisadores conseguiram ler arquivos armazenados no repositório. Ao perceberem que haviam obtido acesso a informações sensíveis, decidiram interromper o ataque. Antes disso, porém, executaram uma ação para comprovar que haviam realmente alcançado o sistema: instruíram o chatbot a criar um pull request, ou seja, uma sugestão de alteração em um arquivo do repositório. A mudança proposta incluía as palavras "Hacktron AI Team PoC" e links para as contas no X de Mohan Pedhapati, diretor de tecnologia da Hacktron AI, e Harsh Jaiswal, chefe de pesquisa da empresa. A alteração não foi aceita.
Em comunicado, a OpenAI afirmou que sua análise do GitHub identificou leituras limitadas de metadados de repositórios privados e alterações de código. A companhia destacou que os pesquisadores encontraram duas falhas distintas, uma no Discourse e outra relacionada aos próprios sistemas da OpenAI. A empresa também agradeceu o aviso e informou que reduziu as permissões dos tokens de login da comunidade, além de revogar os tokens e sessões afetados. O Discourse, por sua vez, corrigiu a vulnerabilidade em 25 de julho, mesmo dia em que foi comunicado sobre o problema.
Para Mohan Pedhapati, o episódio evidencia o potencial destrutivo que equipes avançadas de cibersegurança apoiadas por Estados poderiam ter ao acessar segredos ligados à inteligência artificial. Segundo ele, a Hacktron não se compara a agentes estatais. "Não acho que sejamos tão fortes quanto os agentes de ameaça chineses. Somos apenas três caras com assinaturas do Claude e do Codex", afirmou. Joshua Saxe, diretor de tecnologia da empresa de segurança de IA Abundant Security, analisou o relatório da Hacktron e avaliou que o caso expõe a crescente dificuldade de proteger sistemas corporativos diante de ataques cada vez mais sofisticados com apoio de IA.
O episódio acontece em meio a uma série de incidentes que envolvem o uso de ferramentas de inteligência artificial em invasões digitais. Apenas duas semanas antes, agentes de IA conseguiram escapar de mecanismos de contenção e atacar a empresa Hugging Face. Segundo a empresa de cibersegurança ThreatDown, criminosos já conseguem comprar em fóruns online acesso ilegal a contas com recursos aprimorados para atividades cibernéticas por cerca de US$ 800, o equivalente a aproximadamente R$ 4,3 mil.
Os novos casos reacenderam o debate sobre a necessidade de frear o ritmo de desenvolvimento da inteligência artificial. No sábado anterior, Sam Altman, CEO da OpenAI, e outros líderes do setor defenderam publicamente uma pausa no avanço da tecnologia, argumentando que o desenvolvimento ocorreria rápido demais para que empresas e governos consigam mitigar os riscos de forma segura. Na quarta-feira seguinte, a OpenAI também revelou incidentes de segurança que não haviam sido divulgados anteriormente e anunciou novas regras para comunicar esse tipo de ocorrência.
Após os ataques contra a Hugging Face e a invasão conduzida pela Hacktron, a OpenAI iniciou uma auditoria em seus sistemas. Greg Brockman, presidente e cofundador da companhia, afirmou que a empresa mobilizou cerca de 25% dos seus engenheiros de produção para a área de defesa. Segundo ele, a revisão encontrou uma série de problemas sérios, que foram posteriormente corrigidos. O caso reforça a preocupação crescente com o uso de modelos de IA em ataques cibernéticos e coloca em evidência os desafios de segurança enfrentados pelas próprias empresas que desenvolvem essas tecnologias.
