Pesquisadores usaram o Claude para hackear os sistemas internos da OpenAI em uma cadeia de bug bounty

Em 25 de julho de 2026, uma equipe de três pessoas da empresa de segurança Hacktron AI usou o Claude Opus 5, da Anthropic, para encadear duas falhas e assumir o controle de contas do ChatGPT e do Codex pertencentes a funcionários da OpenAI, e então usou uma dessas contas para abrir um pull request no repositório de código-fonte interno da OpenAI. O ponto de entrada não foi uma página de login nem uma chave de API: foi um upload de imagem no fórum público de ajuda da OpenAI, community.openai.com, que roda no software de fórum de código aberto Discourse. A segunda falha estava no logon compartilhado da própria OpenAI, não no fórum. Nenhum código-fonte foi lido, nada foi mesclado, nenhum dado de cliente foi tocado, e o arquivo não registra nenhum dano no mundo real — isto foi pesquisa de segurança relatada ao fornecedor, não um ataque contra ele. O registro é datado de 18 de setembro de 2026, o dia em que a TechCrunch noticiou a descoberta. Este incidente aparece ao lado dos outros registros documentados em o Orca AI Incident Archive, onde cada registro traz suas próprias fontes, gravidade, grau de confiança e sinalizador de contestação.

Duas coisas fazem deste caso mais do que uma história pitoresca de recompensas por bugs. A primeira é a velocidade: a Hacktron diz que todo o percurso, desde a primeira olhada no fórum até a obtenção de acesso ao repositório interno, levou menos de 72 horas, e que o modelo com o qual começou não conseguia dar conta da tarefa. A segunda é uma discrepância que os números das manchetes escondem — a CVE citada na cobertura, CVE-2026-32882, está registrada como uma leitura fora dos limites que derruba software ou vaza memória, não como um bug de execução de código. O próprio aviso do Discourse classifica o resultado como execução remota de código. Ambas são verdadeiras, e a lacuna entre elas é onde a contribuição da IA realmente se situa.

O que a Hacktron diz ter encontrado, e quando

A Hacktron publicou seu relatório, "Hacking OpenAI", em seu próprio site em 13 de setembro de 2026. O Wall Street Journal noticiou o caso na noite de quinta-feira, 17 de setembro, segundo o TechCrunch, que veio na sexta-feira, 18 de setembro. Os eventos descritos aconteceram cerca de oito semanas antes, e a própria linha do tempo da Hacktron é precisa sobre eles:

• 23 de julho de 2026 — a equipe rastreia o caminho de upload de HEIF do Discourse pelo ImageMagick até o libheif e encontra o estouro de heap.

• 24 de julho de 2026 — Claude Opus 4.8 produz um exploit funcional de execução de código com ASLR, a defesa padrão de randomização de endereços, desativada.

• 25 de julho de 2026, 06:00 UTC — usando um modelo mais recente, a equipe confirma a execução local confiável de código por meio do upload de uma imagem com o ASLR ativado.

• 25 de julho de 2026, 08:00–10:00 UTC — a equipe envia um relatório por meio do programa de recompensas por bugs da OpenAI no Bugcrowd.

• 25 de julho de 2026, 10:00 UTC — o exploit funciona contra a própria instância do Discourse Cloud da equipe e depois contra o fórum da OpenAI.

• 25 de julho de 2026, 13:30–15:30 UTC — a equipe usa a conta Codex de um funcionário da OpenAI para abrir um pull request inofensivo no monorepo interno da OpenAI e então encerra os testes.

• 25 de julho de 2026, 22:49:45 UTC — A {{1}}OpenAI{{/1}} responde confirmando que o problema foi corrigido, cerca de 14 horas após o envio inicial.

• 28 de julho de 2026 — O Discourse publica o aviso GHSA-vhm9-85gw-x335 com orientações de correção e reconstrução.

• 1 de setembro de 2026 — a OpenAI paga uma recompensa de US$ 6.500 e marca o relatório como resolvido.

As datas acima são da Hacktron, não uma reconstrução. A data de publicação de 13 de setembro em seu próprio post, a reportagem do Wall Street Journal de 17 de setembro e a matéria do TechCrunch de 18 de setembro fazem parte de uma sequência separada e posterior: o trabalho aconteceu em julho, o texto foi publicado em meados de setembro.

Como um upload de imagem se tornou um comprometimento do servidor

A cadeia começa com um recurso comum. O Discourse normalmente verifica as imagens enviadas com uma biblioteca chamada FastImage, mas o FastImage não oferece suporte a HEIF, o formato de contêiner usado pelos dispositivos da Apple para fotos. Esses arquivos, portanto, eram passados para a ferramenta de linha de comando do ImageMagick para conversão, que os entregava ao libheif para decodificação. Isso colocou um parser diretamente diante de arquivos controlados pelo atacante — exatamente o padrão que a tirinha sobre dependências do xkcd tem em mente, e que a Hacktron cita em suas referências.

A Hacktron descobriu que o pacote libheif instalado na imagem Docker do Discourse estava sem correções de segurança. A imagem do Discourse foi criada sobre o Debian 12, que instalou o libheif 1.19.7; o Debian 13 ainda distribuía a 1.19.8 na época. O bug em si está em HeifPixelImage::overlay(), que compõe uma imagem de sobreposição sobre uma imagem base. De acordo com o próprio aviso da libheif, quando um filho de sobreposição tem uma profundidade de bits diferente para seu canal alfa do que para seus canais de cor, a função indexa o plano alfa usando o stride do canal de cor em vez do stride do plano alfa. Com uma imagem de 100 por 50 em cor de 10 bits e alfa de 8 bits, o aviso calcula que o código lê 3.123 bytes além do fim de um buffer de 7.168 bytes.

Isso dá a um atacante memória de heap vazada, o que é útil para derrotar a randomização de endereços — não, por si só, um shell. Ir do vazamento à execução é a parte que exigiu um modelo, e é a parte que a CVE não descreve. A cadeia então atravessou um limite de confiança que, segundo a Hacktron, é a verdadeira história: o fórum da OpenAI oferece "Sign in with OpenAI" por meio de auth.openai.com, o mesmo logon único que os funcionários usam em outros lugares. O controle do servidor do fórum significava que os pesquisadores podiam assumir as contas de ChatGPT e Codex de membros do fórum que trabalhavam na OpenAI, sem qualquer interação das vítimas. Como a Hacktron coloca, "a vulnerabilidade de escalação não é específica do Discourse", e qualquer serviço da OpenAI, próprio ou de terceiros, que usasse esse logon único teria concedido o mesmo acesso.

Estabelecido e inferido

O arquivo classifica este registro com confiança A, não disputado, gravidade alta, sem dano real registrado. Esses campos se sustentam. Mas o relato é o relato de uma única equipe de pesquisa, corroborado em vez de reconstruído de forma independente, e vale a pena separar o que está documentado do que é afirmado.

Estabelecido por registros primários. CVE-2026-32882 existe, foi publicado em 19 de maio de 2026, afeta o libheif 1.21.2 e versões anteriores e foi corrigido no libheif 1.22.0. O registro do MITRE atribui a ele uma pontuação de 7,1, com vetor de ataque de rede, baixa complexidade, nenhum privilégio exigido, interação do usuário exigida e impactos de baixa confidencialidade e alta disponibilidade — uma falha ou um vazamento de memória. O aviso do Discourse GHSA-vhm9-85gw-x335, publicado em 28 de julho de 2026 e atribuído à hacktronai-research, acompanha o mesmo CVE e classifica o resultado como Alto em 8,8, com baixos privilégios exigidos, nenhuma interação do usuário e alto impacto nos três pilares: confidencialidade, integridade e disponibilidade. Ele lista as versões corrigidas 2026.7.0, 2026.6.1, 2026.5.2 e 2026.1.6, e afirma que a imagem Docker mais recente inclui o libheif corrigido.

Estabelecido por dois veículos independentes. O fato de os pesquisadores terem usado Claude para encontrar e transformar a cadeia em arma, de o comprometimento de um fórum ter levado ao acesso a contas de funcionários, de a OpenAI ter corrigido isso em cerca de 14 horas e pago US$ 6.500, de a prova de acesso ter sido um único pull request e de a OpenAI afirmar que testar o próprio fórum estava fora do escopo do seu programa de recompensas — tudo isso aparece no The Hacker News e no TechCrunch, ambos os quais citam diretamente o relatório da Hacktron.

Afirmado pela Hacktron, não verificado de forma independente. O fato de a execução de código no fórum ter sido obtida, afinal, da maneira descrita — por meio de um loop de agente autônomo e de uma instância de teste com proxy — baseia-se no relato da Hacktron e não foi reproduzido por terceiros; o The Hacker News diz que contatou a Hacktron com perguntas sobre como a execução de código no fórum foi obtida e sobre o escopo do acesso à conta, e não informa ter recebido respostas. A alegação de que a mesma classe de falha chegou ao Slack, à Meta, ao GitHub Enterprise e a frameworks web é, na própria avaliação do The Hacker News, "apoiada de forma desigual": uma falha do Next.js está confirmada no aviso da Vercel e os mantenedores do libheif confirmaram um exploit funcional para o bug ligado à Meta, mas a alegação mais ampla de execução de código em muitos aplicativos não foi confirmada de forma independente. A OpenAI não publicou nenhuma descrição técnica da falha de logon; ela confirmou a descoberta por meio da correção e do pagamento, em vez de documentar as tomadas de controle de contas.

Não estabelecido de forma alguma.Quantas contas de funcionários estavam acessíveis — The Hacker News diz "várias", TechCrunch diz "múltiplas", e Hacktron não fornece um número. Se a falha chegou a ser usada por qualquer outra pessoa: The Hacker News relata não haver indícios de uso no mundo real e observa que a CVE não constava da lista de vulnerabilidades conhecidas por terem sido exploradas do governo dos EUA em meados de setembro de 2026, embora alerte que a lista não constitui prova nem de uma coisa nem de outra. E se as organizações que já tinham aplicado o patch ainda deveriam procurar por acessos anteriores — The Hacker News diz que as fontes estão em silêncio sobre esse ponto.

O que os modelos fizeram, e o que os humanos fizeram

O salto de capacidade é a parte que a própria Hacktron enfatiza, e está documentado nas próprias palavras dela, em vez de inferido. A equipe primeiro usou o Claude Opus 4.8, em uma versão disponibilizada a pesquisadores de cibersegurança, para inspecionar o pacote libheif instalado e criar um exploit com o ASLR desativado. Com o ASLR ativado, ele não avançou ao longo de várias sessões. A Anthropic lançou o Claude Opus 5 na noite de 24 de julho de 2026; em uma nova sessão, o novo modelo produziu um exploit ARM64 funcional para um Mac local em cerca de três horas e, às 06:00 da manhã seguinte, já havia sido portado para a configuração x86-64 usada pelo Discourse.

O Claude Opus 5 também foi lançado com salvaguardas contra a escrita de código de exploit para alvos reais. A Hacktron diz que as contornou direcionando o modelo para sua própria instância do Discourse Cloud, com proxy por meio de um host chamado rce.ee/ctf-forum, para que o alvo parecesse um exercício de capture-the-flag, e executando-o em um loop de objetivos autônomo. A equipe deixa explícito que isso não foi hacking sem supervisão: “a orientação humana especializada continuou importante”, escreve, embora a quantidade de trabalho que uma pequena equipe poderia realizar tenha aumentado drasticamente. Na campanha mais ampla HEIF Heist, a Hacktron diz que usou o GPT-5.6 Sol da OpenAI para casos em que não sabia nada sobre o alvo de antemão.

A economia é o argumento que a Hacktron quer que o leitor leve consigo. Ao longo da campanha mais ampla — rastreando a mesma classe de falha no Slack, Meta, GitHub Enterprise, Ruby on Rails e nos frameworks Next.js, Astro e Gatsby — ela afirma que dois meses de trabalho de três pesquisadores custaram menos de US$ 3.000 em tokens, com cada novo alvo levando um ou dois dias para adaptar. Ela também afirma não ter conhecimento de nenhuma empresa que tenha detectado a atividade, exceto a Shopify, apesar de milhares de imagens de teste terem sido enviadas e de os processadores de imagem falharem repetidamente.

O que mudou depois

O Discourse recebeu o relatório num sábado, respondeu no domingo, já tinha uma correção na segunda-feira e publicou seu aviso de segurança em 28 de julho, adicionando sandboxing ao processamento de imagens como defesa em profundidade. Seu aviso alerta os administradores de instalações auto-hospedadas de que uma atualização apenas da interface web pode não substituir a biblioteca subjacente, e que é necessária uma reconstrução completa a partir de /var/discourse. A Debian publicou uma atualização de segurança para o libheif do Debian 13 em 8 de agosto de 2026, rastreada como DSA-6417-1. No upstream, a Hacktron indica aos leitores o libheif 1.23.4 como a versão de segurança mais recente em 14 de setembro de 2026, e observa que os pacotes de distribuição podem trazer correções backportadas com um número de versão mais antigo, portanto, é preciso verificar o aviso do pacote, bem como a versão upstream.

Para a OpenAI, a correção chegou em cerca de 14 horas após o relatório de 25 de julho, e a recompensa foi paga em 1º de setembro. A empresa anexou uma clarificação de escopo ao pagamento: testes contra o community.openai.com hospedado no Discourse foram explicitamente excluídos do seu programa de bug bounty, e a premiação reconhece o achado do lado da OpenAI, e não as ações contra o Discourse. Vale a pena ler com atenção. Os US$ 6.500 são um pagamento pelo achado de sign-on, não pela cadeia do fórum, e o trabalho no fórum que tornou a cadeia possível estava, segundo a própria OpenAI, fora do escopo.

Por que o CVE não corresponde ao título

A cobertura deste caso tende a comprimir duas classificações de gravidade diferentes em uma só. O aviso do libheif e o CVE descrevem uma leitura fora dos limites com impacto na confidencialidade classificado como baixo e impacto na disponibilidade classificado como alto: travamento ou vazamento de memória. O aviso do Discourse descreve o que aconteceu quando essa leitura foi combinada com trabalho de exploração e uma segunda falha, e o classifica como 8.8 com impacto total nas três categorias. Nenhum dos dois está errado; eles respondem a perguntas diferentes. O CVE responde “quão grave é o bug da biblioteca?” e o aviso do fórum responde “quão grave é o problema do fórum?”

A consequência prática é que um leitor que examina feeds de CVE em busca de uma falha crítica de execução remota de código no libheif não encontrará nenhuma aqui, e poderá concluir, com razoável fundamento, que não foi afetado. A orientação da própria Hacktron é o oposto: qualquer serviço que aceite imagens HEIC, HEIF ou AVIF fornecidas pelo usuário e as decodifique por meio de um libheif sem patch deve ser tratado como exposto, e o número da versão por si só não é uma verificação suficiente, porque backports são movidos sob strings de versão desatualizadas. As três mitigações que ela recomenda são atualizar o libheif e o libde265 pelo canal de segurança da distribuição ou por uma versão upstream atual, desabilitar a decodificação de HEIF e AVIF não confiáveis onde ela não for necessária ou isolar o processamento de imagens em um sandbox efêmero e — a que se generaliza além das bibliotecas de imagens — limitar quais serviços um logon único considera confiáveis e exigir uma nova verificação de identidade antes de ações sensíveis, em vez de confiar em uma sessão existente.

Esse último ponto é a conclusão transferível. O fórum não era a vulnerabilidade; era a porta de entrada. Um serviço público, de menor confiança, que compartilhava um provedor de identidade com ferramentas internas significava que comprometer a propriedade mais fraca do ambiente concedia acesso à mais forte. Nada no relato da Hacktron sugere que a OpenAI tenha sido descuidada com o próprio fórum — o Discourse, segundo a avaliação da própria equipe, "na verdade não é um alvo fácil" — e é exatamente por isso que o caso está sendo citado: a fronteira de confiança, não o bug, foi o que falhou.