Três pessoas. Um upload de imagem. Menos de 72 horas, de um fórum comunitário público ao interior do repositório de código interno da OpenAI. Isso não é enredo de filme — aconteceu em 25 de julho de 2026.
Uma equipe de pesquisa em segurança de três pessoas chamada HacktronAI — Harsh Jaiswal, Mohan Pedhapati e Rahul Maini — estava trabalhando no programa de bug bounty da OpenAI. Suas armas não eram exóticas: uma biblioteca de imagens open-source antiga com uma vulnerabilidade conhecida mas não corrigida, e o Claude Opus 5, lançado pela Anthropic apenas um dia antes. A OpenAI pagou a eles uma recompensa de US$ 6.500 e corrigiu sua parte da falha em cerca de 14 horas.
Grande parte da cobertura tratou isso como uma ironia deliciosa: a OpenAI, criadora do GPT, foi hackeada com o Claude. A ironia é divertida, mas obscurece o que realmente importa.
O que realmente aconteceu foi que uma premissa em que a indústria de software confiava silenciosamente há décadas acabou de falhar em um teste real — e a falha apareceu em uma nota de recibo.
1. A Cadeia de Ataque Não É a História. O Custo É.
Comece pela mecânica, porque ela é quase entediante. O fórum comunitário da OpenAI roda no Discourse. Quando usuários fazem upload de imagens HEIC ou HEIF, a ferramenta habitual de verificação de imagens do Discourse, o FastImage, não consegue lidar com o formato, então os arquivos são repassados ao ImageMagick, que chama o decodificador libheif por baixo dos panos. O libheif continha um heap buffer overflow. E aqui está o detalhe: o upstream havia corrigido o problema um ano antes, mas a correção não foi marcada como patch de segurança e nunca recebeu um identificador CVE. Por isso, Debian 12 e 13 nunca receberam o backport. A imagem Docker do Discourse, baseada no Debian 12, vinha com o libheif 1.19.7 vulnerável.
Um upload HEIF malicioso disparou execução remota de código (RCE) no servidor do fórum. Então o segundo bug entrou em ação: o single sign-on da OpenAI tinha uma configuração de autenticação incorreta, o que permitiu à equipe sequestrar as contas de ChatGPT e Codex de qualquer pessoa que tivesse feito login no fórum — incluindo funcionários da OpenAI. O Codex de um funcionário estava conectado à organização GitHub da OpenAI, então a equipe o usou para abrir um pull request inofensivo, o #1186742, no monorepo interno da OpenAI como prova — sem ler uma única linha de código interno.
Cada elo dessa cadeia teria sido lido como material de “advanced persistent threat” três anos atrás. O que mudou o jogo não foi a cadeia. Foi a etiqueta de preço que veio junto.
A equipe primeiro tentou o Claude Opus 4.8 em 23 de julho. Ele encontrou a correção sem backport e construiu um exploit parcialmente funcional — mas, contra a configuração real do Discourse com ASLR (address space layout randomization) ativado, várias sessões não conseguiram produzir um exploit confiável. Na noite de 24 de julho, a Anthropic lançou o Opus 5. Uma sessão nova produziu um exploit ARM64 funcional para um Mac local em três horas e, durante a madrugada, o portou para o ambiente x86-64 do Discourse e para o alocador jemalloc. Às 6h do dia 25 de julho, o RCE local via upload de imagem foi confirmado. A equipe então colocou o Claude em um loop autônomo, encaminhando o alvo através de um domínio disfarçado de desafio CTF para contornar sua recusa em atacar servidores remotos reais. Às 10h, o agente tinha RCE no Discourse Cloud, verificado lendo o /etc/hosts.
Uma tarefa na qual a geração anterior do modelo falhava repetidamente foi concluída pela nova geração no dia seguinte ao seu lançamento.
2. Como a “Segurança pela Obscuridade do Esforço” Funcionava de Fato
Para entender por que isso é um marco, olhe para o antigo modelo defensivo.
Por três décadas, a defesa na internet se apoiou em uma premissa que ninguém escreve em documentos de compliance: a complexidade é um fosso gratuito. Mesmo uma vulnerabilidade pública de corrupção de memória, com o código-fonte na mesa, exigia três recursos escassos para se tornar uma arma funcional contra um sistema em produção.
Primeiro, expertise: pesquisadores que entendem de layouts de heap, comportamento de alocadores e bypass de ASLR são raros. Segundo, tempo: semanas a meses de engenharia reversa e depuração. Terceiro, inteligência de ambiente: conhecimento profundo da configuração exata do alvo.
Multiplicando os três, o desenvolvimento de exploits custava tanto que apenas atores estatais se davam ao trabalho — e só para alvos de alto valor. A estratégia de segurança de todo o resto se comprimia em uma frase: atacantes não vão se dar ao trabalho conosco. Isso é “segurança pelo custo da exploração” — não que você tenha se defendido bem, mas que atacar você não fazia sentido econômico.
Note o que a IA fez aqui. Ela não descobriu a vulnerabilidade. O bug do libheif já existia; a correção já estava em um repositório upstream. A IA fez a segunda metade do trabalho: transformar um bug teórico em uma arma confiável contra um ambiente específico. E é exatamente nessa segunda metade que os três recursos escassos eram consumidos.
3. Economia de Exploits: O Novo Modelo de Precificação
Aqui está um enquadramento reutilizável: a viabilidade de qualquer ataque pode ser precificada por três entradas — o custo do conhecimento, o custo do tempo e o custo da inteligência. No antigo equilíbrio, elas se multiplicavam em orçamentos estatais. A IA comoditizou as três ao mesmo tempo.
Custo do conhecimento: o Opus 4.8 auditou uma imagem Docker e encontrou uma correção de segurança sem backport. O Opus 5 escreveu um exploit ARM64 e o portou entre arquiteturas e alocadores de memória durante a madrugada. Habilidades que antes exigiam salários de especialista agora custam uma chamada de API.
Custo do tempo: de “novo modelo lançado” a “exploit confiável pronto para produção” se passaram cerca de um dia, não meses. A equipe também observou saltos perceptíveis de capacidade entre gerações de modelos. Em testes posteriores, o GPT-5.6 Sol, segundo relatos, operou totalmente às cegas — sabendo apenas que uma vulnerabilidade existia — e encadeou autonomamente vazamentos de memória, escalada de privilégios e movimento lateral.
Custo da inteligência: adaptar o exploit a cada novo alvo levou um ou dois dias. O projeto de continuação, HEIF Heist, provou a economia em escala: dois meses, cobrindo Slack, Zoom, Meta, GitHub Enterprise, Ruby on Rails e frameworks Node.js incluindo Next.js, Astro e Gatsby. Três pesquisadores. Gasto total de tokens: menos de US$ 3.000.
O preço total de um ataque caiu de um orçamento nacional para alguns milhares de dólares. O modelo de precificação da ofensiva mudou. Os modelos de ameaça da maioria das organizações, não.
Um detalhe mais frio: ao longo da pesquisa do HEIF Heist, a equipe enviou milhares de imagens que derrubaram repetidamente os pipelines de processamento de imagens das empresas-alvo. Com exceção da Shopify, nenhuma empresa detectou a atividade de ataque.
4. Isso Nunca Foi Sobre a OpenAI. É Sobre a Cadeia de Dependências.
Amplie o enquadramento, e o raio de alcance cobre muito mais do que uma empresa.
O libheif é infraestrutura invisível de manual: enterrada nos pipelines de imagens de incontáveis aplicações, lembrada por ninguém. A famosa charge do xkcd #2347 descreve exatamente essa estrutura — toda a infraestrutura digital moderna apoiada, precariamente, na pequena biblioteca de algum voluntário anônimo. Desta vez, a correção havia sido escrita um ano antes. Ela falhou em se propagar simplesmente porque não foi rotulada como patch de segurança e não recebeu um CVE. Um ecossistema inteiro de distribuições downstream ficou cego por causa de um rótulo ausente.
Duas conclusões se seguem. Primeiro, qualquer aplicação que aceite uploads HEIC/HEIF/AVIF e os processe no lado do servidor carrega a mesma exposição. Segundo, atacantes agora podem varrer sistematicamente um ecossistema inteiro — enquanto defensores nem sequer recebem alertas de falha. A lacuna não é técnica. É econômica: no mundo antigo, ninguém pagava o custo, então ninguém de fato atacava.
Para a indústria de segurança, a mesma arma se valoriza no sentido inverso. Uma IA que escreve exploits também pode rodar testes de penetração automatizados contínuos, auditorias de dependências e verificações de cobertura de patches. A própria Hacktron está transformando essas capacidades em ferramentas de revisão de segurança para pull requests. Ofensiva e defesa agora seguram o mesmo martelo. A única questão é quem o sistematiza primeiro.
5. O Que Você Deve Fazer
- Líderes de segurança: Reescreva seu modelo de ameaças e apague a linha que diz “atacantes não vão nos mirar”. Reavalie sua exposição com a economia de exploits em mente — quando todos os custos de entrada se aproximam de zero, o baixo valor do alvo não é uma defesa.
- Equipes de infraestrutura: Audite seus pipelines de processamento de imagens agora. Qualquer coisa que aceite HEIC/HEIF/AVIF deve rodar o libheif e o libde265 mais recentes com patches aplicados (release de segurança upstream v1.23.4 a partir de 14 de setembro de 2026). Desative formatos desnecessários via security policy do ImageMagick e coloque o processamento de imagens em sandbox, em ambientes isolados e efêmeros.
- Gestão de dependências: Pare de monitorar apenas CVEs. A causa raiz deste incidente foi uma correção que foi publicada sem rótulo de segurança. Para dependências críticas, acompanhe os próprios commits upstream, não apenas os avisos.
- Fornecedores de aplicações: Adicione monitoramento de falhas aos workers de processamento de imagens. O silêncio generalizado durante o HEIF Heist significa que o sinal de detecção mais barato possível nunca foi implantado.
- Provedores de modelos: Trate isso como um teste de estresse de alinhamento. Um domínio CTF falso foi suficiente para contornar a recusa do Opus em atacar servidores remotos reais. Os limites das guardrails precisam ser recalibrados contra as técnicas de disfarce de atacantes reais.
A “segurança pela exploração cara” não foi destruída por nenhum ataque isolado. Ela foi encerrada por uma conta de tokens abaixo de US$ 3.000.
Quando a expertise por trás dos ataques se torna computação comprável, a economia da segurança precisa ser reconstruída. Desta vez, os defensores têm as mesmas ferramentas.
Fontes: Hacktron AI, “Hacking OpenAI”; heif-heist.com; advisory do Discourse GHSA-vhm9-85gw-x335; advisory de segurança do Debian DSA-6417-1.
