Uma cadeia de vulnerabilidades envolvendo o fórum da OpenAI e seu sistema de autenticação permitiu que pesquisadores de segurança comprometessem contas de funcionários da empresa e demonstrassem acesso a um repositório interno.
A descoberta foi divulgada por pesquisadores da Hacktron, que afirmam ter identificado os problemas em julho de 2026. Segundo o grupo, todo o caminho entre a descoberta inicial e a demonstração de acesso ao ambiente interno aconteceu em menos de 72 horas.
O caso chama atenção não apenas pelo alvo. Parte importante do trabalho de pesquisa e desenvolvimento do exploit contou com modelos de inteligência artificial, mostrando como a própria IA começa a mudar a velocidade e o custo da pesquisa em segurança.
O ataque começou pelo fórum da OpenAI
O primeiro ponto da cadeia estava no community.openai.com, fórum oficial que utilizava a plataforma Discourse.
Os pesquisadores analisaram o sistema responsável pelo processamento de imagens e encontraram um problema relacionado à biblioteca libheif, utilizada no tratamento de formatos como HEIC e HEIF.
Segundo o relato da Hacktron, determinadas correções de segurança existentes no projeto original não haviam sido incorporadas às versões presentes no ambiente analisado.
Isso abriu caminho para uma vulnerabilidade de corrupção de memória durante o processamento de uma imagem especialmente preparada.
A falha permitiu aos pesquisadores chegar à execução remota de código no ambiente do fórum. Sozinho, isso já seria um problema considerável. Mas havia uma segunda peça esperando para entrar no jogo.
Uma segunda falha ampliou o impacto
O fórum permitia autenticação utilizando a conta da OpenAI. De acordo com os pesquisadores, uma configuração problemática no sistema de SSO transformava o comprometimento do fórum em uma oportunidade de acessar contas do ChatGPT e Codex.
Foi a combinação dos dois problemas que tornou o cenário muito mais sério.
Em 25 de julho, a equipe afirma ter conseguido comprometer contas de funcionários da OpenAI. Uma delas utilizava o Codex conectado à organização da empresa no GitHub.
Para demonstrar o impacto sem consultar código interno, os pesquisadores instruíram o Codex associado à conta comprometida a abrir um pull request no monorepositório interno openai/openai.
Depois da demonstração, afirmam ter interrompido os testes e atualizado o relatório enviado à OpenAI.
É aquele clássico lembrete da segurança moderna: às vezes, a vulnerabilidade realmente perigosa não é uma única falha, mas o que acontece quando sistemas diferentes confiam demais uns nos outros.
OpenAI corrigiu o problema no mesmo dia
A vulnerabilidade foi inicialmente reportada pelo programa de bug bounty da OpenAI em 25 de julho.
Segundo a cronologia publicada pela Hacktron, a empresa confirmou a correção do problema do seu lado aproximadamente 14 horas depois do envio inicial.
A falha relacionada ao Discourse também foi reportada separadamente. A equipe responsável pela plataforma respondeu no dia seguinte e tinha uma correção pronta em 27 de julho.
Em 28 de julho, um aviso de segurança foi publicado com orientações de atualização. O Discourse também adicionou isolamento ao processamento realizado pelo ImageMagick como uma camada adicional de proteção.
Em setembro, a OpenAI pagou uma recompensa de US$ 6.500 aos pesquisadores. Conforme o relato, a empresa esclareceu que o valor estava relacionado especificamente à descoberta envolvendo sua infraestrutura, já que testes contra o fórum hospedado pelo Discourse estavam fora do escopo do programa de recompensas.
IA ajudou a desenvolver o exploit
Outro ponto importante da pesquisa foi o uso de modelos de inteligência artificial durante a investigação.
A equipe relata ter utilizado modelos Claude da Anthropic para analisar componentes, investigar a vulnerabilidade e auxiliar no desenvolvimento do exploit em diferentes ambientes.
Segundo os pesquisadores, versões anteriores tiveram dificuldades em determinadas etapas. Após o lançamento do Claude Opus 5, porém, a equipe afirma ter obtido avanços significativos em poucas horas.
O trabalho mais amplo da Hacktron, chamado HEIF Heist, também envolveu testes em diferentes empresas e plataformas.
De acordo com a equipe, a pesquisa completa levou cerca de dois meses, envolveu três pesquisadores e consumiu menos de US$ 3 mil em tokens de modelos de IA.
Os próprios autores ressaltam que não se tratou de uma operação totalmente autônoma. Conhecimento humano especializado continuou sendo necessário para orientar o processo.
Ainda assim, a produtividade obtida chama atenção.
IA pode mudar a economia dos ataques sofisticados
Durante anos, vulnerabilidades complexas de corrupção de memória possuíam uma barreira prática importante: transformar uma falha em um exploit confiável exigia profissionais altamente especializados, conhecimento do ambiente e bastante tempo.
Isso nunca foi exatamente uma proteção de segurança. Era mais uma proteção pelo custo e pela dificuldade.
A inteligência artificial começa a mexer justamente nessa equação.
Na avaliação dos pesquisadores, tarefas que anteriormente poderiam exigir equipes maiores e meses de trabalho agora podem ser aceleradas com modelos capazes de analisar código, adaptar abordagens e auxiliar pesquisadores em diferentes etapas.
Isso não significa que qualquer pessoa possa apertar um botão e comprometer sistemas sofisticados. O próprio estudo deixa claro que orientação humana especializada permaneceu importante.
Mas significa que empresas talvez precisem rever uma velha aposta silenciosa da segurança digital: acreditar que determinadas vulnerabilidades são difíceis demais para serem exploradas em escala.
Quando IA reduz o custo do conhecimento técnico, depender da dificuldade do ataque deixa de ser uma estratégia particularmente confortável.
O que fica depois da descoberta
A pesquisa também expõe a importância de manter dependências atualizadas e, principalmente, isolar componentes responsáveis pelo processamento de arquivos enviados por usuários.
A recomendação apresentada pelos pesquisadores é manter bibliotecas como libheif e libde265 atualizadas com as correções de segurança disponíveis.
Serviços que não precisam processar imagens HEIF ou AVIF também podem considerar desativar esse suporte. Quando o processamento for necessário, a orientação é executá lo em ambientes isolados e com controles mais rígidos.
O episódio da OpenAI acabou resolvido antes que a vulnerabilidade fosse divulgada publicamente. Mas o ponto mais interessante talvez esteja além da correção.
A mesma tecnologia que ajuda desenvolvedores a escrever código mais rápido também começa a ajudar pesquisadores a encontrar maneiras de quebrá lo mais rápido. Para quem trabalha com segurança, essa corrida provavelmente está apenas começando.
