Investigadores Usaram o Claude para Invadir a OpenAI: Lições para PMEs

Três investigadores independentes invadiram a OpenAI ao carregar uma imagem no fórum comunitário da empresa, e usaram o Claude, da Anthropic, para ajudar a construir o exploit. O trabalho foi feito dentro do programa de recompensas por bugs da OpenAI, foi comunicado de forma responsável e rendeu um pagamento de 6.500 dólares. A razão pela qual um empresário deve prestar atenção a isto nada tem a ver com a OpenAI: o ponto fraco foi um software comum de terceiros com um componente desatualizado — exatamente o tipo de coisa que a maioria das pequenas empresas utiliza.

O que aconteceu, na prática

Segundo a TechCrunch, citando o The Wall Street Journal, uma equipa da startup Hacktron AI encadeou duas vulnerabilidades críticas e acabou por entrar em várias contas de ChatGPT de funcionários da OpenAI, o que lhes deu um caminho até ao software da empresa.

O ponto de entrada era banal. O fórum comunitário da OpenAI corre em Discourse, um software de terceiros. Quando alguém carregava uma imagem no formato do iPhone (HEIF ou HEIC), o Discourse convertia-a para JPEG através de uma cadeia de ferramentas em segundo plano: primeiro o ImageMagick, que não consegue ler o formato da Apple, depois uma biblioteca chamada libheif para fazer a descodificação. A libheif tinha um erro de memória. Uma imagem especialmente construída fazia com que ela calculasse mal como uma imagem se sobrepunha a outra, e isso bastava para tomar o controlo do servidor.

Aqui está a parte incómoda. Os programadores da libheif já tinham corrigido esse erro meses antes. Mas a correção nunca foi formalmente registada como vulnerabilidade, pelo que nunca recebeu um número CVE, o identificador de referência padrão do setor. A Hacktron sugere que foi por isso que a versão vulnerável continuava em uso.

Já dentro do servidor do fórum, os investigadores encontraram uma segunda falha que lhes permitia tomar conta de contas de ChatGPT e Codex de utilizadores. Uma delas pertencia a um funcionário da OpenAI cujo Codex estava ligado à organização GitHub da empresa. Os investigadores encontraram a via de entrada a 25 de julho e alertaram tanto a OpenAI como o Discourse; o Discourse lançou uma correção a 27 de julho. A OpenAI afirma que os problemas estão resolvidos.

Há mais um detalhe relevante. A versão do Claude com que a equipa começou, uma versão de investigação do Opus 4.8, falhou em várias sessões ao tentar produzir um exploit funcional. A Anthropic lançou o Opus 5, entregaram-lhe o mesmo problema, e funcionou em poucas horas.

Porque é que isto importa para uma pequena empresa

Duas coisas mudaram aqui, e nenhuma delas tem a ver com grandes laboratórios de IA.

Primeiro, a barreira técnica baixou. O fundador da Hacktron declarou publicamente que a IA está a reduzir a quantidade de conhecimento especializado raro necessário para construir um exploit, transformando meses de trabalho em dias. Um responsável da empresa de segurança Gray Swan foi ainda mais direto à TechCrunch: por uma subscrição mensal de 200 dólares, qualquer pessoa pode usar estas ferramentas, e se isto pode acontecer a uma empresa que leva a segurança a sério, pode acontecer a qualquer um.

Segundo, o caminho do ataque foi entediante. Ninguém adivinhou uma palavra-passe. Usaram um fórum de apoio, um conversor de imagens e uma biblioteca de código aberto desatualizada que ninguém sinalizou porque não tinha número CVE. O seu widget de reservas, o seu serviço de apoio ao cliente, a sua pilha de plugins de WordPress e o seu processamento de imagens são construídos com o mesmo tipo de peças. Muitas pequenas empresas limitam-se a corrigir aquilo que a ferramenta de monitorização assinala — e este erro nunca teria disparado esse alerta.

A cadeia também merece nota. Uma conta de fórum levou a uma conta de trabalho, que levou a um repositório de código. As pequenas empresas constroem cadeias idênticas sem pensar nisso: o mesmo email dá acesso ao CRM, ao painel de alojamento e ao painel de pagamentos.

O que fazer este mês

• Ative a autenticação em dois fatores em tudo o que toque em dinheiro, código ou dados de clientes. Alojamento, registo de domínio, fornecedor de pagamentos, CRM, GitHub ou GitLab, email. Torne-a obrigatória para a equipa, não opcional.
• Faça uma revisão de acessos. Liste todas as pessoas com direitos de administrador em cada sistema. Remova ex-funcionários, prestadores de serviço que já terminaram e contas que ninguém reconhece. Faça-o uma vez, escreva a lista e repita trimestralmente.
• Aplique as mesmas regras a contas secundárias. Fóruns, serviços de apoio, plataformas comunitárias e ferramentas de marketing são tratados como de baixo risco e frequentemente partilham credenciais com os sistemas que realmente importam. Dê-lhes palavras-passe separadas e o seu próprio segundo fator.
• Atualize dependências por calendário, não por alertas. Peça a quem mantém o seu site que atualize bibliotecas, plugins e imagens base mensalmente, incluindo componentes sem vulnerabilidades reportadas. Esta história existe porque um erro corrigido não tinha CVE.
• Limite o que uma única conta comprometida consegue alcançar. Se um único início de sessão abre o repositório de código, o servidor de produção e a base de dados de clientes, separe já essas permissões.

Nada disto é avançado. É a lista de verificação que teria quebrado a cadeia descrita acima em três pontos distintos. As ferramentas usadas pelos atacantes estão a melhorar rapidamente, e as defesas que ainda funcionam são pouco vistosas e baratas.