Omar Marques / Zuma Press / Europa Press - Arquivo
MADRID 18 set. (Portaltic/EP) -
Um grupo independente de pesquisadores de segurança cibernética conseguiu acessar o sistema de código interno da OpenAI utilizando a inteligência artificial (IA) Claude, da Anthropic, expondo assim vulnerabilidades que comprometem os repositórios internos da empresa.
Os pesquisadores de segurança responsáveis por esse “hack” na OpenAI pertencem ao grupo Hacktron AI, que se dedica a identificar vulnerabilidades. Especificamente, em uma de suas investigações, eles conseguiram acessar a conta do ChatGPT de um funcionário da empresa liderada por Sam Altman. Isso lhes permitiu ler e sugerir alterações no cache privado do software da OpenAI.
Essa investigação fazia parte de um programa de busca de vulnerabilidades da OpenAI; portanto, assim que as falhas foram descobertas, a Hacktron AI alertou a empresa de tecnologia sobre seus resultados, e esta os recompensou com 6.500 dólares (cerca de 5.658 euros, segundo a cotação atual), conforme relatado pelo The Wall Street Journal.
Assim, conforme compartilhado pelos próprios pesquisadores em um comunicado em seu blog, eles descobriram duas vulnerabilidades com a ajuda dos modelos mais avançados de IA do Claude, desenvolvidos pela Anthropic, empresa concorrente da OpenAI.
Por um lado, encontraram uma falha de execução remota de código (RCE) no serviço de terceiros que hospeda o fórum de discussão da OpenAI, chamado Discourse. Por outro lado, um erro nos próprios sistemas da empresa, que se deve a uma configuração incorreta do sistema de autenticação SSO na infraestrutura de identidade da OpenAI.
MODUS OPERANDI
Tudo começou quando, em 23 de julho, os pesquisadores identificaram uma falha no processo de upload de alguns formatos de imagem no Discourse e utilizaram uma versão avançada do Claude Opus 4.8, destinada a pesquisadores, para inspecionar a falha. Em seguida, detectaram que algumas correções específicas de segurança não haviam sido incorporadas corretamente, causando “um estouro de buffer na pilha”.
Após identificar essa vulnerabilidade, solicitaram ao Claude Opus 4.8 que desenvolvesse um código que permitisse explorar a falha, mas sem sucesso. Foi com o Claude Opus 5, lançado na mesma época, que os pesquisadores conseguiram criar uma maneira de explorar a falha em um ataque cibernético.
A equipe da Hacktron AI utilizou o código desenvolvido pelo Opus 5 para explorar a vulnerabilidade, conseguindo acessar um servidor do Discourse que hospedava os fóruns da OpenAI e, com isso, obter tokens de autenticação.
Por meio dos tokens obtidos, que também eram os utilizados nas contas do ChatGPT, os pesquisadores se apropriaram da conta de um funcionário da OpenAI, cujo Codex estava conectado à organização da OpenAI no GitHub.
É aqui que surge a segunda vulnerabilidade: aproveitando esse acesso, eles enviaram uma solicitação à conta do Codex do funcionário para que ele abrisse uma solicitação de pull (pull request, em inglês) no monorepo interno da empresa. Ou seja, o repositório de código privado da OpenAI, onde a empresa concentra seus projetos, serviços e o desenvolvimento de seus modelos de IA.
Assim, os pesquisadores conseguiram acessar o código interno da OpenAI e, por meio do ChatGPT, ler os arquivos internos no monorepo. No entanto, eles afirmam que interromperam seus testes para não acessar informações confidenciais da empresa.
No entanto, para comprovar seu acesso, a solicitação de “pull request” consistiu em adicionar o texto “Hacktron AI Team PoC” ao repositório, bem como incluir links para as contas na rede social X de alguns dos pesquisadores, como Harsh Jaiswal.
RISCOS DAS VULNERABILIDADES
No entanto, os pesquisadores enfatizaram que a vulnerabilidade “não é exclusiva do Discourse”, mas sim um problema que pode afetar qualquer serviço da OpenAI que utilize o OpenAI SSO. “Seja ele próprio ou de terceiros, caso fosse comprometido, ocorreria o mesmo acesso. O Discourse foi simplesmente uma forma de comprovar isso”, afirmaram.
Como resultado de tudo isso, em declarações ao veículo de mídia citado, a OpenAI agradeceu aos pesquisadores por compartilharem suas descobertas, ao mesmo tempo em que garantiu que as falhas foram corrigidas. “Restringimos as permissões dos tokens de login da Community e revogamos os tokens e as sessões afetadas”, explicaram.
O Discourse, por sua vez, também corrigiu a vulnerabilidade encontrada, apenas dois dias após receber o relatório da Hacktron AI.
Os pesquisadores esclareceram que precisaram apenas de uma assinatura do Claude e do Codex para realizar essa investigação, o que evidencia o risco de que equipes com recursos mais avançados possam acessar esses sistemas e manipulá-los.
“O ataque ao Discourse e à OpenAI exigiu apenas alguns dias de um agente e poucas horas de trabalho humano”, esclareceram, ao mesmo tempo em que ressaltaram que “cada novo modelo está cada vez mais capaz” e que as premissas de segurança “devem ser atualizadas para acompanhar as capacidades dos invasores”.
Esta notícia foi traduzida por um tradutor automático