Uma recompensa por falhas chegou ao próprio código da OpenAI
Entre 23 e 25 de julho, uma pequena equipa de investigadores de bug bounty, a trabalhar sob o nome Hacktron, encadeou duas falhas de segurança comuns até obter acesso ao código fonte interno da OpenAI. A primeira era um estouro de buffer na pilha na libheif, uma biblioteca de imagens de código aberto, uma falha que já tinha sido corrigida discretamente a montante no ano anterior mas que nunca recebeu um CVE, pelo que a maioria de quem a usava nunca soube que a devia corrigir. A segunda era uma configuração incorreta de autenticação única no próprio fórum de ajuda da comunidade da OpenAI. Carregar uma imagem HEIF manipulada através do software Discourse desse fórum ativou o estouro e deu aos investigadores execução remota de código no servidor do fórum ainda antes da manhã de 25 de julho.
A partir daí, a falha de SSO permitiu-lhes assumir o controlo das contas de ChatGPT e Codex de funcionários que usavam o mesmo login tanto no site da comunidade da OpenAI como nas suas ferramentas internas. Um desses funcionários tinha a sua conta Codex ligada à organização GitHub da OpenAI. Usando essa ligação, os investigadores abriram um pull request de prova de conceito, numerado 1186742, dentro do próprio repositório de código interno da OpenAI. A OpenAI confirmou ainda nessa noite que o problema estava resolvido, e pagou uma recompensa de 6500 dólares através do seu programa a 1 de setembro.
Uma falha, várias empresas
A OpenAI não foi o único alvo. A mesma falha na libheif, perseguida no âmbito de um projeto que os investigadores chamam HEIF Heist, deu à equipa pontos de apoio noutras empresas que também executam pipelines de processamento de imagem construídas sobre a mesma biblioteca.
| Alvo | O que os investigadores alcançaram | Resultado |
|---|---|---|
| OpenAI | Conta de funcionário, depois um PR dentro do monorepo interno | Recompensa de 6500 dólares, resolvido num dia |
| Slack | Pipeline de processamento de imagem baseado em libheif | Reportado através do programa de recompensas da Slack |
| Meta | Pipeline de processamento de imagem baseado em libheif | Reportado através do programa de recompensas da Meta |
| GitHub Enterprise | Pipeline de processamento de imagem baseado em libheif | Reportado através do programa de recompensas do GitHub |
Os investigadores afirmam que todo o projeto HEIF Heist de dois meses, nas quatro empresas, lhes custou menos de 3000 dólares em uso de modelos de IA. Esse é o verdadeiro número relevante: uma única falha corrigida em silêncio e sem CVE, numa biblioteca de código aberto partilhada, era suficientemente barata para que uma equipa de três pessoas a transformasse em descobertas remuneradas em quatro das empresas melhor defendidas do setor, usando um modelo de IA para fazer a maior parte do trabalho de triagem e encadeamento de exploits.
O modelo não foi o ponto fraco
É tentador ler isto como uma história sobre um modelo de IA que invade sistemas por conta própria. Não é o caso. O Claude Opus 4.8 foi a ferramenta dos investigadores para encontrar o estouro, construir um exploit funcional e encadeá-lo à falha de SSO mais rápido e mais barato do que uma equipa humana conseguiria por si só. Os pontos fracos reais eram pouco vistosos e familiares: uma falha antiga numa biblioteca que nunca recebeu um CVE e por isso nunca foi corrigida em todos os locais onde era usada, uma configuração de autenticação única que permitia que um único login abrisse vários sistemas não relacionados, e a conta do assistente de código de um funcionário que tinha acesso de escrita ao repositório mais sensível de uma empresa.
Nada disto exigiu vencer as próprias defesas de IA da OpenAI, porque nada disto tocou de todo nos sistemas de IA da OpenAI. O fórum de ajuda da comunidade, uma instalação Discourse a correr código de tratamento de imagem desatualizado, foi a porta. A própria conta do funcionário, e tudo aquilo a que essa conta calhava estar ligada, foi o corredor que levou dessa porta ao monorepo.
O que uma empresa europeia deveria verificar de verdade
Cada uma das quatro empresas afetadas neste projeto tem um programa sério de segurança de fornecedores, e cada uma continuava a ter a mesma exposição: um sistema interno alcançável através de uma conta cuja integração com um assistente de código de IA chegava mais longe do que ninguém tinha mapeado. Uma avaliação típica de risco de fornecedores classifica as ferramentas SaaS que uma empresa compra diretamente. Raramente pergunta a que está ligada, do outro lado, a conta Codex, Claude Code ou Copilot de um programador, ou o que acontece se precisamente esse login for raptado num sítio sem relação com os próprios sistemas da empresa.
Essa lacuna importa ao abrigo da NIS2 e da Lei da Ciber-Resiliência, onde o prazo de notificação começa quando um incidente é descoberto, não quando ocorre. Neste caso, a descoberta veio de investigadores externos que geriam um programa de recompensas, não de qualquer monitorização interna. Uma empresa que hoje não consiga responder a que outras plataformas estão ligadas as contas de assistente de IA dos seus programadores não tem forma realista de saber se a mesma cadeia já a alcançou.
Leia a seguir: Cloudflare Encontra Falhas Com IA, Ainda Não As Corrige | A Anthropic deixa-o alojar os seus registos obrigatórios
