Os pesquisadores da startup Hacktron AI conseguiram acessar contas do ChatGPT vinculadas a funcionários da OpenAI durante um exercício de segurança realizado com autorização da empresa. Para explorar a vulnerabilidade, a equipe utilizou modelos de inteligência artificial da Anthropic, principal concorrente da OpenAI.
O teste identificou uma falha no fórum público de ajuda da OpenAI, operado pela plataforma Discourse. A vulnerabilidade permitiu que os pesquisadores assumissem o controle do site e, a partir daí, avançassem no ataque.
A Hacktron AI utilizou diferentes modelos da Anthropic durante o teste. O Claude Opus 4.8 foi usado na identificação e exploração inicial da vulnerabilidade, mas apresentou dificuldades de consistência. Na sequência, a equipe recorreu ao Claude Opus 5, que conseguiu produzir um ataque funcional em cerca de três horas. Já o Claude Mythos não foi utilizado na operação, pois seu acesso é restrito a organizações selecionadas.
O caso chama atenção para o uso da inteligência artificial em operações de segurança ofensiva e para a capacidade dessas ferramentas de acelerar a identificação e a exploração de vulnerabilidades. No entanto, o episódio também alimenta a preocupação de especialistas de que a IA pode tornar ciberataques sofisticados mais rápidos e baratos.
Após concluir o teste, a Hacktron AI comunicou a vulnerabilidade à OpenAI e à Discourse. As empresas trabalharam na correção da falha e na coordenação da resposta ao incidente.
:quality(85)/6de05839-f89f-4e11-9241-bf65e6e6c8d6.jpg "Editar informações da imagem")
O que diz a OpenAI?
A OpenAI confirmou o incidente à AFP e informou que a vulnerabilidade foi corrigida cerca de 14 horas após receber a notificação dos pesquisadores. Como parte de seu programa de recompensas por identificação de bugs, a empresa pagou US$ 6.500 à Hacktron AI, valor equivalente a cerca de R$ 34 mil.
Drew Pusateri, porta-voz da OpenAI, agradeceu aos pesquisadores pelo contato e pelo compartilhamento das descobertas. A empresa também destacou a rapidez da comunicação e da correção da vulnerabilidade.
A Hacktron AI informou que pretende continuar realizando testes de segurança semelhantes em outras empresas do setor.
Se você gostou do conteúdo, talvez também se interesse por conferir “8 diferenças entre o polêmico Claude Fable 5 e o Mythos 5”.
{{WHATSAPP_CHANNEL}}