Pesquisadores invadem contas de funcionários da OpenAI com falhas encadeadas

A invasão

Em 25 de julho de 2026, pesquisadores da Hacktron (Harsh Jaiswal, Mohan Pedhapiti e Rahul Maini) encadearam duas falhas críticas para assumir contas de ChatGPT e Codex de funcionários da OpenAI. Com esse acesso, abriram um pull request (PR #1186742) no monorepo interno openai/openai via Codex de um funcionário, como prova de conceito sem acessar código sensível. Do achado inicial ao acesso ao repositório passaram-se menos de 72 horas.

O encadeamento de falhas

A primeira falha estava no fórum da OpenAI, community.openai.com, que roda Discourse e permite "Sign in with OpenAI". Arquivos HEIC/HEIF enviados ao fórum escapavam da verificação do FastImage (que não suporta HEIF) e iam direto para o ImageMagick, expondo o parser libheif a arquivos controlados por atacante. A equipe, com ajuda de modelos Claude, descobriu que correções de segurança relevantes não tinham sido backportadas para o libheif, permitindo um heap buffer overflow com primitivas de leitura/escrita fora dos limites durante a decodificação HEIC. O código vulnerável havia sido corrigido no upstream, mas a correção não foi documentada como falha de segurança nem recebeu CVE - possivelmente o motivo de Debian 12 e 13 seguirem com versões vulneráveis (1.19.7 e 1.19.8).

A segunda falha era uma configuração incorreta de SSO na infraestrutura de identidade da OpenAI, que transformou o comprometimento do fórum em tomada de contas ChatGPT/Codex. Os pesquisadores enfatizam que o problema de escalada não é específico do Discourse: qualquer serviço próprio ou de terceiros usando o SSO da OpenAI, se comprometido, levaria ao mesmo acesso.

Papel dos modelos de IA

O processo ilustra a progressão das capacidades dos modelos. O Opus 4.8 fracassou em várias sessões para produzir um exploit funcional com ASLR ativado. Na noite de 24 de julho, a Anthropic lançou o Claude Opus 5: em horas, o modelo gerou um exploit ARM64 funcional em 3 horas, portou-o para x86-64 com a configuração jemalloc do Discourse e, em um loop autônomo contra uma instância de teste da própria Hacktron (o modelo se recusava a escrever exploits para instâncias remotas), alcançou RCE no Discourse Cloud, demonstrado pela leitura de /etc/hosts. Com o script gerado, os pesquisadores obtiveram RCE na instância da OpenAI.

Divulgação responsável e recompensa

A equipe reportou imediatamente via programa de bug bounty da OpenAI no Bugcrowd e, em separado, à Discourse via HackerOne. A OpenAI confirmou a correção cerca de 14 horas após o envio; a Discourse respondeu num domingo, teve correção na segunda-feira, adicionou sandboxing de processamento de imagens e publicou o aviso GHSA-vhm9-85gw-x335. A OpenAI pagou US$ 6.500, esclarecendo que o prêmio reconhece a falha do lado da OpenAI, já que testar contra o fórum Discourse estava explicitamente fora do escopo do programa. Debian publicou atualização de segurança para o Debian 13 em 8 de agosto de 2026.

Custos e implicações

O ataque à OpenAI/Discourse levou alguns dias de agente e poucas horas humanas. A pesquisa mais ampla, batizada de HEIF Heist, que rastreou o libheif por Slack, Meta, GitHub Enterprise, Ruby on Rails e frameworks Node.js (Next.js, Astro, Gatsby), durou dois meses, custou menos de US$ 3.000 em tokens e foi feita por três pesquisadores. Adaptar o exploit a cada empresa levava um ou dois dias, muitas vezes sem conhecer versão de libheif, libc ou ambiente - e a equipe observa um salto do Opus 5 para o GPT-5.6 Sol em exploração às cegas. Nenhuma empresa detectou a atividade exceto a Shopify. Os autores argumentam que a complexidade do software funcionava como barreira prática contra exploração, e que a IA está removendo essa proteção ao transformar expertise escassa em compute, exigindo modelos de ameaça atualizados. Como mitigação, recomendam atualizar libheif e libde265 (a última versão de segurança é a v1.23.4), desabilitar decodificação HEIF/AVIF não confiável e isolar pipelines de imagem em sandboxes efêmeras.