Claude hackeou a OpenAI em 72h via imagem HEIF

O problema não foi o modelo, foi a porta dos fundos

Invasão da OpenAI com Claude expõe um desconforto que quem opera sistemas de IA conhece bem. Você endurece a API, coloca red team no modelo, trava jailbreak, monitora abuso, e então alguém entra pelo fórum da comunidade por causa de uma biblioteca de imagem. Foi exatamente o que três pesquisadores independentes da Hacktron fizeram em menos de 72 horas usando o Claude Opus 4.8 e o Opus 5. Eles não quebraram a criptografia do GPT nem vazaram pesos do modelo. Eles acharam um caminho lateral, barato e automatizável, e provaram o acesso a contas de funcionários com um pull request feito a partir de uma conta Codex comprometida, sem precisar tocar diretamente no código mais sensível.

O fato é direto e por isso incomoda. Segundo o relato, o Claude Opus 5 foi lançado na noite de 24 de julho e já na manhã seguinte, por volta das 10h, a equipe tinha conseguido execução remota de código no Discourse Cloud e acesso à instância da OpenAI. O vetor foi o processamento de imagens HEIF no Discourse, o software de terceiros que hospeda os fóruns da OpenAI. Um arquivo de imagem corrompido virou RCE, o RCE virou sessão válida, a sessão virou ponte para o ecossistema interno, incluindo o repositório 'Monorepo' no GitHub que concentra parte central da engenharia da empresa. Os pesquisadores afirmam que pararam antes de abrir o código interno por conta própria, mas a demonstração foi suficiente para provar que estavam dentro.

Como funciona a falha HEIF no Discourse

Na visão de operador, o que aconteceu aqui não tem nada de mágica. O Discourse precisa gerar miniaturas e metadados para cada upload, e para isso chama parsers nativos de imagem. O formato HEIF é notoriamente complexo, com containers, tiles, metadados EXIF e dependências de bibliotecas em C e C++ que fazem parsing sem sandbox forte. Um arquivo malformado pode estourar buffer, confundir o alocador ou forçar um caminho de decodificação que executa código fora da jaula. A partir daí, se o worker de imagem roda com permissões amplas ou compartilha rede e credenciais com a aplicação principal, o atacante escala para RCE completo no ambiente cloud.

O detalhe operacional mais relevante é a velocidade e o custo. O projeto chamado HEIF Heist teria levado apenas um ou dois dias para ser adaptado a outros alvos, incluindo Slack, Meta, GitHub Ent, Rails, Next.js e ImageMagick, com menos de 3 mil dólares em tokens. Isso sugere um workflow bem típico de quem usa LLM para offensive security hoje. O modelo gera variações de arquivos corrompidos, analisa crashes, lê stack traces, sugere bypass para mitigações, escreve exploits e automatiza o fuzzing. Não é o Claude digitando sozinho, é um loop onde o humano define a superfície, o modelo acelera a iteração e o Codex ajuda a transformar prova de conceito em acesso real.

Também chama atenção o ponto da detecção. Segundo os pesquisadores, apenas um alvo, a Shopify, teria percebido a atividade. Isso faz sentido para quem já operou pipeline de upload. Requisições de imagem parecem tráfego legítimo, os erros de parser viram logs verbosos que ninguém olha, e o Discourse Cloud é multi tenant por natureza, então um RCE ali pode abrir portas para várias instâncias se o isolamento falhar. As vulnerabilidades reportadas para o Discourse e para a OpenAI já foram corrigidas, e a OpenAI pagou 6.500 dólares pela descoberta. Valor pequeno perto do risco, mas padrão para um bug que entrou por terceiro e não pelo core.

O que isso muda na prática para quem opera IA

Quem ganha com esse episódio são os times pequenos de segurança ofensiva e os operadores defensivos atentos. Três pessoas com assinatura do Claude e do Codex conseguiram o que antes exigiria uma equipe maior e semanas de fuzzing manual. Quem perde são empresas que tratam fórum, help center, upload de avatar e portal de comunidade como sistema de segunda classe. Na arquitetura moderna, tudo que tem sessão, SSO e integração com GitHub é produção crítica. Se o seu fórum usa o mesmo provedor de identidade dos funcionários ou tem tokens OAuth com escopo amplo, ele não é periferia, ele é porta de entrada.

• Audite hoje seu pipeline de imagens: liste onde você aceita HEIF, HEIC, TIFF e SVG, quais bibliotecas fazem o parsing e com quais privilégios.
• Separe identidade de comunidade e identidade corporativa: fórum não deveria emitir sessão capaz de abrir pull request interno sem reautenticação forte.
• Monitore comportamento de contas de serviço: pull request anômalo vindo de conta Codex ou bot deveria gerar alerta imediato e bloqueio.

A ação prática mais imediata é simples. Desative temporariamente o processamento de HEIF e HEIC se você não precisa dele, mova o parsing de imagens para um sandbox sem rede e sem segredos, com limites rígidos de CPU e memória, e force reconversão para JPEG ou PNG em ambiente isolado antes de entregar o arquivo ao app principal. Depois revise integrações entre Discourse, Slack, GitHub e provedores de SSO. Tokens antigos, apps OAuth esquecidos e webhooks com permissão de escrita são o que transformam um RCE contido em comprometimento de 'Monorepo'. Se você roda Rails ou Next.js com upload direto, aplique a mesma lógica e registre cada crash de parser como evento de segurança, não como erro de aplicação.

O ponto incômodo que ninguém quer admitir

A frase do CTO da Hacktron, Mohan Pedhapati, resume a tensão melhor que qualquer relatório. Ele disse algo como, não somos tão fortes quanto atores estatais chineses, somos só três caras com assinaturas do Claude e do Codex. Isso deveria preocupar qualquer CISO. Se três pesquisadores com menos de 3 mil dólares em tokens conseguem adaptar o mesmo exploit para uma lista enorme de stacks populares em dias, o que um grupo com orçamento real, infraestrutura própria e modelos internos consegue fazer em silêncio e em escala. O gargalo da exploração sofisticada deixou de ser conhecimento, passou a ser custo de inferência e acesso a bons modelos de raciocínio.

Por outro lado, é preciso cuidado para não transformar isso em marketing do medo. Isso escala, sim, mas também resolve uma parte do problema. O mesmo Claude que ajuda a achar a falha ajuda a corrigir, a escrever sandbox, a revisar dependência e a gerar teste de regressão. O custo compensa para o ataque, mas também caiu para a defesa. A questão real é quem aplica primeiro. A OpenAI corrigiu, o Discourse corrigiu, outros stacks vão corrigir, mas quantas empresas que usam Discourse, ImageMagick, Rails e Next.js vão atualizar de fato nas próximas semanas. O histórico mostra que a cauda longa de sistemas sem patch é onde o estrago acontece de verdade, não no alvo inicial.

Conclusão

No fim, a invasão da OpenAI com Claude não foi sobre Anthropic contra OpenAI, foi sobre como IA de ponta barateou a exploração de software velho que sustenta a internet. A pergunta que fica para quem opera é direta. Seu sistema mais crítico ainda confia em um parser de imagem que você nunca auditou.