Três pessoas, uma assinatura de IA e uma invasão "autorizada" dentro da OpenAI: o hack que expõe o novo normal da cibersegurança
Uma startup de segurança digital com apenas três funcionários conseguiu, usando o modelo de IA Claude, da Anthropic, invadir contas internas de funcionários da OpenAI — incluindo acesso ligado à organização da empresa no GitHub. A história, divulgada em 18 de setembro por TechCrunch e The Wall Street Journal e replicada por The Register e Forbes, não é bem um escândalo: foi um teste de segurança autorizado, dentro do programa oficial de bug bounty da própria OpenAI. Mas o que ela revela sobre o poder ofensivo da IA generativa é, no mínimo, de tirar o sono de qualquer time de segurança corporativa — e é sobre isso que vamos falar com calma aqui.
Quem é a Hacktron e o que ela realmente fez
A Hacktron AI é uma startup pequena — três pessoas, sem escritório chique, sem exército de engenheiros. O fundador, Mohan Pedhapati, é o tipo de pesquisador que vive em programas de bug bounty: empresas como a OpenAI pagam recompensas em dinheiro para quem encontrar falhas de segurança antes que um criminoso encontre. É um modelo consolidado no Vale do Silício, geralmente visto como algo positivo — transforma hackers talentosos em aliados em vez de adversários.
O trabalho da Hacktron encadeou duas vulnerabilidades críticas descobertas em 25 de julho de 2026. A porta de entrada foi um bug de memória na libheif, biblioteca usada para converter imagens no formato HEIF/HEIC (o padrão de fotos do iPhone) em JPEG. Essa biblioteca estava rodando no fórum comunitário da OpenAI, construído sobre a plataforma Discourse. Bastou subir uma imagem malformada, especialmente construída para explorar essa falha, para sequestrar o servidor por trás do fórum. A partir daí, os pesquisadores encontraram uma segunda falha, essa mais grave: ela permitia assumir o controle de contas ChatGPT e Codex de funcionários reais da OpenAI, incluindo pelo menos uma conta com acesso à organização da empresa no GitHub — ou seja, ao código-fonte interno. Como prova de conceito, e tomando o cuidado de não causar dano real, o time abriu um pull request inofensivo nos repositórios internos, só para provar que tinha chegado lá.
O detalhe que muda tudo: a diferença entre Claude Opus 4.8 e Opus 5
Aqui está o ponto que mais deveria preocupar qualquer profissional de segurança: o salto de capacidade entre duas versões consecutivas de um mesmo modelo de IA. Com o Claude Opus 4.8, os pesquisadores da Hacktron relatam ter penado — em várias sessões, o modelo simplesmente não conseguia produzir um exploit funcional para a vulnerabilidade que eles já sabiam que existia. Assim que a Anthropic lançou o Claude Opus 5, a mesma tarefa, que antes travava, foi concluída em questão de horas.
Não é um detalhe técnico qualquer. Isso significa que a barreira entre "ter uma ideia de ataque" e "executar um ataque funcional" está caindo numa velocidade que acompanha o próprio ritmo de lançamento de novos modelos de IA — meses, não anos. Matt Fredrikson, CEO da empresa de segurança Gray Swan, resumiu o recado numa frase que vale a pena grudar na parede: "Por 200 dólares por mês, qualquer um pode usar essas ferramentas e invadir uma empresa como a OpenAI." Ele não está falando de um cenário hipotético e distante — está descrevendo, literalmente, o que acabou de acontecer.
Foto: Markus Spiske — Unsplash
Foi tudo dentro da lei — e é exatamente por isso que importa
Vale reforçar, porque é fácil ler esse tipo de manchete e pensar que houve um crime: nada aqui foi ilegal ou malicioso. A Hacktron reportou as falhas à OpenAI e ao Discourse antes de qualquer divulgação pública, seguindo à risca o processo de responsible disclosure — o protocolo padrão da indústria para não colocar usuários em risco. Recebeu US$ 6.500 em recompensa pelo achado, e a vulnerabilidade no Discourse já foi corrigida, dois dias depois de descoberta, em 27 de julho. A OpenAI confirmou publicamente que resolveu os problemas apontados.
O que preocupa especialistas não é o que a Hacktron fez — é o que esse caso prova ser possível. Um time de três pessoas, com uma assinatura comercial de IA que qualquer pessoa pode comprar, replicou em poucos dias um tipo de trabalho ofensivo que, há pouco tempo, exigia meses de expertise técnica acumulada, equipes inteiras de red team ou recursos de um estado-nação. E essa mesma dinâmica vale nos dois sentidos: tanto para pesquisadores "do bem", contratados para fortalecer a segurança de uma empresa, quanto para grupos criminosos, ou mesmo agências de inteligência estrangeiras com recursos muito maiores que os de uma startup de três pessoas.
A corrida armamentista silenciosa entre ataque e defesa
É aqui que a história ganha um contorno mais amplo. Se a IA está deixando ataques cibernéticos mais rápidos e baratos de produzir, a resposta lógica do outro lado é que a defesa também precisa de IA — e é exatamente isso que já está acontecendo nos bastidores de grandes empresas de segurança: sistemas que usam modelos de linguagem para varrer código em busca de vulnerabilidades antes que alguém as explore, para analisar tráfego de rede em tempo real atrás de padrões de invasão, e para simular ataques automaticamente contra a própria infraestrutura da empresa, num ciclo contínuo de teste e correção.
O problema é que essa corrida não é simétrica. Um atacante só precisa encontrar uma porta aberta; quem defende precisa fechar todas elas, o tempo todo. E enquanto os modelos de IA generativa ficam mais capazes de gerar exploits a cada nova versão, a pergunta que fica no ar — e que a própria Anthropic, criadora do Claude, enfrenta internamente — é até que ponto os modelos de fronteira deveriam ser restringidos para dificultar esse tipo de uso ofensivo, sem com isso inviabilizar exatamente o tipo de pesquisa de segurança legítima que, neste caso específico, ajudou a proteger a OpenAI antes que alguém com intenções realmente ruins chegasse lá primeiro.
Fonte: site oficial da Anthropic
O que isso muda na prática, para quem trabalha com tecnologia
Para quem lida com segurança digital no dia a dia — seja num time de TI de uma empresa pequena ou numa gigante como a OpenAI — o recado prático é direto e um pouco desconfortável: ferramentas de IA generativa já são parte do arsenal ofensivo padrão, não uma ameaça futura. Isso significa que práticas básicas, mas frequentemente negligenciadas, deixam de ser "boas ideias" e passam a ser urgência: gestão de patches (corrigir vulnerabilidades conhecidas assim que aparecem, sem deixar acumular), autenticação multifator em toda conta corporativa, monitoramento de anomalias de acesso em tempo real, e — talvez o ponto mais importante — programas de bug bounty ativos e bem remunerados, porque, como este caso prova, é muito melhor pagar US$ 6.500 para quem te avisa do problema do que descobrir a falha depois que ela já foi explorada por alguém sem essa intenção.
A OpenAI, ironicamente, é uma das empresas que mais investem em segurança da informação do mundo — e mesmo assim foi encontrada vulnerável por um time de três pessoas armadas com uma assinatura de IA. Isso não é motivo para pânico, mas é, sem dúvida, um sinal de que o piso mínimo de segurança em toda a indústria de tecnologia precisa subir — e rápido, no mesmo ritmo em que os modelos de IA estão evoluindo.
Sobre o autor