Uma equipe de apenas três pesquisadores de segurança da startup Hacktron AI usou o Claude Opus 5, modelo mais recente da Anthropic, para invadir a infraestrutura da OpenAI em menos de 72 horas (TechRadar, 18 de setembro de 2026), chegando a acessar repositórios internos de código da empresa (TechCrunch, 18 de setembro de 2026; The Register, 18 de setembro de 2026). O episódio aconteceu dentro do programa oficial de bug bounty da OpenAI, e a falha já foi corrigida.

Key Takeaways

  • Três pesquisadores da Hacktron AI usaram o Claude Opus 5 para produzir um exploit funcional contra a infraestrutura da OpenAI, algo que o Claude Opus 4.8 não havia conseguido em sessões anteriores.
  • O ataque partiu de uma imagem HEIF maliciosa enviada ao fórum da comunidade OpenAI, rodado em Discourse, e resultou em execução remota de código.
  • Com esse acesso, os pesquisadores sequestraram a conta de ChatGPT de um funcionário da OpenAI que tinha o ChatGPT Codex conectado ao GitHub da empresa, chegando a repositórios internos de código.
  • A equipe reportou a falha de forma responsável, com um pull request de prova de conceito, antes de qualquer divulgação pública.
  • A OpenAI corrigiu a vulnerabilidade em 14 horas, pagou US$ 6.500 de recompensa e confirmou que nenhum dado de cliente ou peso de modelo foi comprometido.

O que aconteceu

A Hacktron AI, startup de segurança ofensiva de IA, participava do programa de bug bounty da OpenAI quando decidiu testar até onde um modelo de linguagem conseguiria ir sozinho na produção de um exploit real. A equipe começou com o Claude Opus 4.8, mas o modelo “teve dificuldade ao longo de várias sessões para produzir um exploit funcional”, segundo reportagem do The Register baseada no relato dos próprios pesquisadores. O cenário mudou com o lançamento do Claude Opus 5: usando o novo modelo, a equipe conseguiu transformar a tentativa fracassada em um exploit funcional.

O vetor de entrada foi o fórum da comunidade da OpenAI, construído sobre o software Discourse. Os pesquisadores enviaram uma imagem em formato HEIF manipulada para explorar uma falha que permitiu execução remota de código nesse sistema (CBS News, 18 de setembro de 2026). A partir desse ponto de apoio, eles conseguiram sequestrar a conta de ChatGPT de um funcionário da OpenAI. Esse funcionário havia conectado o ChatGPT Codex, ferramenta de codificação assistida por IA da própria OpenAI, à conta da empresa no GitHub. Essa integração deu à equipe da Hacktron AI acesso completo ao repositório interno de código (The Register, 18 de setembro de 2026).

Antes de tornar o achado público, os pesquisadores seguiram o protocolo de divulgação responsável esperado em programas de bug bounty: enviaram um pull request de prova de conceito à OpenAI, demonstrando o problema sem explorá-lo de forma destrutiva. A OpenAI corrigiu a vulnerabilidade em 14 horas e pagou uma recompensa de US$ 6.500 à equipe (VentureBeat, 18 de setembro de 2026). Em nota, a empresa confirmou que nenhum dado de cliente nem peso de modelo foi comprometido durante o incidente (Forbes, 18 de setembro de 2026).

Por que isso importa

O detalhe mais relevante do caso não é que uma falha de segurança tenha sido encontrada. Isso é rotina em qualquer programa de bug bounty sério. O que chama atenção é o salto de capacidade entre duas versões consecutivas do mesmo modelo. Os próprios pesquisadores relatam que o Claude Opus 4.8 não conseguiu fechar o exploit em várias tentativas, enquanto o Opus 5 conseguiu. Esse tipo de comparação direta, feita pela mesma equipe, com o mesmo alvo, é um dado raro sobre quão rápido a capacidade ofensiva de modelos de IA está avançando de uma geração para outra.

Isso reforça uma tensão que já aparece em outras discussões recentes sobre segurança de IA. A Anthropic revelou que o Claude foi usado indevidamente em contextos como drones russos e pesquisa de armas biológicas, casos de uso malicioso por terceiros. Aqui a situação é diferente e mais ambígua. O uso ofensivo foi feito por pesquisadores autorizados, dentro de um programa de bug bounty legítimo, contra a concorrente direta da empresa que fabrica o modelo. É segurança ofensiva funcionando como deveria. Mas também é uma demonstração pública de que ferramentas de IA de ponta já reduzem a barreira técnica para produzir exploits que antes exigiriam mais tempo e expertise humana especializada. Esse salto de capacidade já aparece em outro contexto: um modelo aberto da DeepSeek chegou a superar o próprio Opus 5 num benchmark de terminal poucos dias depois do lançamento do modelo da Anthropic.

O episódio também expõe um ponto específico de risco: integrações entre ferramentas de IA e sistemas internos de empresas, como a conexão do ChatGPT Codex ao GitHub corporativo. Não foi uma falha no modelo de linguagem que abriu a porta final para o repositório de código. Foi uma conta de funcionário comprometida que já tinha essa integração ativa. Quanto mais ferramentas de IA são conectadas a sistemas de produção com permissões amplas, maior a superfície de ataque quando uma única conta é comprometida.

O que isso significa para empresas que usam IA

Para times de segurança e engenharia que avaliam adotar ferramentas de IA integradas a repositórios de código, o caso traz implicações concretas.

  1. Revise quais contas de funcionários têm ferramentas como o ChatGPT Codex conectadas a controle de versão e outros sistemas sensíveis, e garanta que essas integrações sigam o princípio de menor privilégio, em vez de acesso amplo por padrão.
  2. Trate fóruns de comunidade como superfície de ataque real: sistemas voltados ao público, como o Discourse usado pela OpenAI, merecem o mesmo rigor de patching que a infraestrutura de produção, mesmo quando parecem periféricos ao produto principal.
  3. Reavalie a postura de segurança a cada salto de modelo. O avanço entre Opus 4.8 e Opus 5 mostra que testes que falharam há poucos meses podem ter resultado diferente com um modelo mais novo, o que pede reavaliações periódicas em vez de uma auditoria pontual só quando uma falha aparece.

O panorama geral

O caso se soma a uma sequência de episódios em 2026 que colocam a segurança de sistemas de IA no centro do debate entre os próprios laboratórios que competem entre si. Poucos dias antes, a OpenAI revelou seis incidentes de desalinhamento e criou uma regra de transparência para relatar publicamente esse tipo de ocorrência. Agora é a própria OpenAI que aparece como alvo de um exploit produzido com a ferramenta de um concorrente direto, a Anthropic, dentro de um programa de bug bounty que a própria OpenAI mantém.

O incidente não indica hostilidade entre as duas empresas: o programa de bug bounty existe justamente para incentivar esse tipo de teste. Mas ele ilustra como a fronteira entre “usar IA para pesquisa de segurança defensiva” e “usar IA para produzir capacidade ofensiva real” está cada vez mais estreita. À medida que modelos como o Opus 5 ficam mais capazes de produzir exploits funcionais a partir de tentativas anteriores fracassadas, esse tipo de teste tende a se tornar mais comum, tanto em programas de bug bounty legítimos quanto, potencialmente, em mãos menos bem-intencionadas.

Conclusão

O caso Hacktron AI mostra, com um exemplo concreto e documentado, que a diferença entre uma geração de modelo e a seguinte pode ser a diferença entre um exploit que não funciona e um que compromete repositórios internos de uma das maiores empresas de IA do mundo. A OpenAI reagiu dentro do prazo esperado de um programa de bug bounty maduro, corrigindo a falha em 14 horas e confirmando que dados de clientes e pesos de modelo ficaram fora de risco. Mas o episódio deixa um alerta que vai além da falha específica no Discourse: a velocidade com que a capacidade ofensiva de modelos de IA avança de uma versão para outra é, ela mesma, um fator de risco que empresas de tecnologia precisam monitorar de forma contínua, não apenas quando uma nova falha é descoberta.

Referências e notas de apuração