Investigadores da Hacktron usaram o Claude da Anthropic para encadear uma vulnerabilidade do ImageMagick e do libheif com uma falha na infraestrutura de identidade da OpenAI, chegando a um repositório interno de código em menos de 72 horas. A equipa acedeu às contas ChatGPT e Codex de vários funcionários e usou depois a ligação ao GitHub de uma conta Codex comprometida para chegar ao ambiente privado de software da OpenAI. Os investigadores pararam após criar um pull request inofensivo e disseram que não inspecionaram código-fonte proprietário.
Porque é importante
A operação acelerou depois de a Anthropic lançar o Opus 5, que ajudou a produzir um exploit funcional depois de tentativas anteriores com o Opus 4.8 terem falhado contra as defesas normais baseadas em randomização do layout do espaço de endereçamento. A Hacktron afirmou que o Opus 5 produziu um exploit ARM64 local em cerca de três horas e depois o adaptou à configuração x86-64 e jemalloc usada pelo Discourse. Até 25 de julho, a equipa tinha reproduzido o ataque contra um ambiente de teste remoto e usado-o contra o fórum da OpenAI.
O episódio ilustra a mudança no equilíbrio entre atacantes e defensores. A Hacktron afirmou que a orientação de especialistas humanos continuou a ser importante, mas o seu cofundador, Mohan Pedhapati, defendeu que a IA está a reduzir o conhecimento especializado escasso necessário para desenvolver exploits. Os investigadores também descobriram que os agentes de programação com IA podem ampliar o raio de ação de uma conta comprometida, porque as integrações com o GitHub, Slack, email e outros serviços podem ficar acessíveis.
Impacto no mercado
Para as empresas de IA e os compradores de software empresarial, o risco vai além da segurança dos modelos. Os agentes de programação estão cada vez mais entre os funcionários e a infraestrutura de desenvolvimento sensível, concentrando permissões num pequeno número de plataformas. Uma única falha de identidade pode, assim, tornar-se uma via de acesso a repositórios de código e serviços ligados.
A OpenAI corrigiu a falha do lado da identidade cerca de 14 horas depois de receber o relatório e pagou à Hacktron uma recompensa de 6.500 dólares. O Discourse preparou um patch e acrescentou sandboxing ao processamento de imagens. O próximo teste de segurança para a adoção de IA é saber se as empresas conseguem limitar as permissões dos agentes tão rapidamente quanto ampliam o seu acesso.
Perguntas frequentes
-
Como chegaram os investigadores ao repositório interno da OpenAI?
Comprometeram a conta Codex de um funcionário e usaram a ligação dessa conta à organização GitHub da OpenAI como via para o monorepo privado openai/openai.
-
Que vulnerabilidades foram encadeadas na intrusão da OpenAI?
Os investigadores combinaram uma vulnerabilidade de processamento de imagens envolvendo ImageMagick e libheif com uma fraqueza na infraestrutura de identidade da OpenAI.
-
Que papel desempenhou o Claude Opus 5 na operação?
O Opus 5 ajudou a produzir um exploit funcional depois de tentativas anteriores com o Opus 4.8 terem falhado contra as proteções ASLR normais. Também ajudou a adaptar o exploit a diferentes arquiteturas e configurações de memória.
-
O ataque foi completamente autónomo?
Não. A Hacktron afirmou que investigadores humanos experientes forneceram orientação e avaliação importantes, embora o Claude tenha encurtado partes do processo de desenvolvimento do exploit.
-
Como respondeu a OpenAI à divulgação?
A OpenAI corrigiu a falha do lado da identidade cerca de 14 horas depois de receber o relatório e pagou posteriormente à Hacktron uma recompensa de 6.500 dólares.
WuBlockchain
Crypto News
CoinDesk
TheBlock
CoinTelegraph