Três pesquisadores de segurança chegaram ao repositório central de código da OpenAI com assinaturas comerciais do Claude e do Codex. Os pesquisadores invadiram OpenAI usando uma falha num serviço de terceiros, capturaram tokens de funcionários e leram arquivos do Monorepo, o sistema que guarda os segredos algorítmicos da empresa. O caso virou referência do que times pequenos conseguem fazer com as ferramentas certas.
Como os pesquisadores chegaram ao núcleo da OpenAI
O ataque começou em 23 de julho, quando a equipe Hacktron AI participava do programa de recompensas por vulnerabilidades da própria OpenAI. Os três pesquisadores encontraram uma falha no Discourse, serviço terceirizado que hospeda o fórum comunitário da empresa.
Com acesso a uma versão do Claude Opus 5 liberada para profissionais de cibersegurança qualificados, pediram ao modelo que escrevesse código para explorar a vulnerabilidade. A primeira tentativa com o Claude Opus 4.8 não funcionou. Naquela noite, a Anthropic lançou o Opus 5. No dia seguinte, o modelo encontrou o caminho.
O código gerado abriu acesso a um servidor do Discourse e capturou tokens de autenticação de usuários. Para surpresa da equipe, parte desses tokens era válida também no ChatGPT e no GitHub da OpenAI, pertencendo a funcionários da empresa.
Os pesquisadores invadiram OpenAI com esses tokens e chegaram ao Monorepo. Pessoas familiarizadas com a arquitetura da empresa descrevem esse repositório como a receita secreta: o código que determina como os modelos processam e priorizam informações. Os pesos dos modelos ficam em outro sistema, ainda mais protegido.
Como prova do acesso, a equipe instruiu o ChatGPT a criar um pull request para incluir no código de documentação a frase "Hacktron AI Team PoC" e links para os perfis dos pesquisadores no X. A alteração não foi aceita, mas o registro do acesso ficou. O Discourse corrigiu a falha em 25 de julho, mesmo dia em que foi informado. A OpenAI pagou US$ 6.500 (cerca de R$ 34.700) como recompensa e afirmou que a análise do GitHub identificou apenas leituras limitadas de metadados de repositórios privados.
Por que isso importa para o seu negócio
O fato de pesquisadores invadiram OpenAI com apenas assinaturas comerciais de IA muda o que se entende por equipe capaz de realizar ataques sofisticados. Mohan Pedhapati, diretor de tecnologia da Hacktron AI, resumiu o alcance do feito: "Não acho que sejamos tão fortes quanto os agentes de ameaça chineses. Somos apenas três caras com assinaturas do Claude e do Codex."
Joshua Saxe, diretor de tecnologia da empresa de segurança Abundant Security, coloca em perspectiva: "O software do mundo está cheio de falhas de segurança. A razão pela qual não descobrimos todas elas é que, até o ano passado, havia apenas alguns milhares de pessoas especialistas em encontrá-las." Modelos de linguagem expandem esse grupo para qualquer equipe com uma assinatura e conhecimento básico.
Para empresas brasileiras, a lição principal está na cadeia de terceiros. O ponto de entrada não foi um sistema interno da OpenAI: foi o Discourse, um serviço contratado. Fóruns, plataformas SaaS, sistemas de autenticação integrados representam superfícies de ataque que muitas empresas não monitoram. Grupos criminosos já compram acesso aprimorado a contas de IA em fóruns online por cerca de US$ 800, de acordo com a empresa de cibersegurança ThreatDown.
A OpenAI reagiu ao episódio: Greg Brockman, cofundador da empresa, confirmou que 25% dos engenheiros de produção tiveram projetos pausados para uma auditoria que encontrou "uma série de problemas sérios". Para quem acompanha os casos de modelos enganosos da OpenAI, o padrão de gestão de segurança reativa da empresa está cada vez mais evidente.
O cuidado prático para qualquer organização: revisar quais serviços de terceiros têm acesso a contas e tokens internos, revogar sessões antigas regularmente e adotar autenticação de dois fatores nos serviços que concentram acesso. A superfície de risco costuma estar nos elos menos vigiados.
Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.
Fonte: Olhar Digital
