Pesquisadores usam Claude Opus 5 para encadear falhas e sequestrar contas internas da OpenAI
A firma de segurança Hacktron AI usou o Claude Opus 5 para gerar exploits funcionais e encadear uma falha de memória no fórum público da OpenAI com uma fraqueza no sistema de login compartilhado, chegando a contas ChatGPT/Codex de funcionários e a um repositório interno de código. O caso mostra tanto o valor ofensivo real de modelos de fronteira em pentest quanto como as salvaguardas contra geração de exploits podem ser contornadas ao se disfarçar o alvo como um ambiente de CTF autorizado.
Pesquisadores da Hacktron AI usaram o Claude Opus 5 para encadear duas vulnerabilidades e assumir o controle das contas de ChatGPT e Codex de vários funcionários da OpenAI, chegando em seguida a um repositório interno de código da empresa. Como prova de acesso, sem extrair dados sensíveis, os pesquisadores usaram a conta comprometida de um funcionário para abrir um pull request inofensivo no monorepo interno openai/openai. O caso foi divulgado de forma responsável e a OpenAI pagou uma recompensa de US$ 6.500 em setembro.
Tecnicamente, a cadeia começou em uma falha de leitura fora dos limites de memória na biblioteca libheif (CVE-2026-32882), presente na imagem Docker desatualizada do Discourse (baseada em Debian 12) que hospedava o fórum público de ajuda da OpenAI. Explorada via upload de imagem, essa falha permitiu contornar proteções de ASLR e obter execução de código no servidor do fórum. A partir daí, os atacantes exploraram uma fraqueza no sistema de login único (SSO) que a OpenAI compartilhava entre o fórum público e as contas internas de ChatGPT e Codex, transformando o comprometimento de um serviço de baixo valor em acesso a ferramentas internas de alto valor.
O papel do Claude Opus 5 foi gerar o código de exploração funcional para essa cadeia. O modelo havia sido lançado com salvaguardas destinadas a impedir a escrita de exploits para alvos reais, mas os pesquisadores contornaram essa proteção apresentando o servidor de teste como um alvo de CTF (capture-the-flag), rodando sessões automatizadas com direcionamento humano no loop.
O episódio importa na prática por dois motivos. Primeiro, confirma que modelos de fronteira já são ferramentas efetivas de descoberta e exploração de vulnerabilidades reais, não apenas em benchmarks controlados, e que o enquadramento do pedido ('isto é um CTF autorizado') pode ser suficiente para driblar guardrails de segurança do próprio modelo. Segundo, expõe um padrão arquitetural comum e perigoso: vincular via SSO um serviço público de baixo trust (um fórum de suporte, muitas vezes rodando dependências desatualizadas) a contas internas de alto privilégio, o que transforma qualquer bug trivial de biblioteca de imagem em um vetor direto para dados corporativos.
As mitigações recomendadas incluem atualizar a libheif para a versão 1.23.4, desabilitar decodificação HEIF/AVIF não essencial em imagens Docker de produção e, principalmente, restringir o escopo do SSO para que serviços voltados ao público não deem acesso irrestrito a ferramentas internas.