Pesquisadores de segurança usaram o Claude para invadir o repositório interno de código da OpenAI

Três pesquisadores de segurança usaram o Claude Opus 5 da Anthropic para se infiltrar no repositório de código interno da OpenAI no verão passado, de acordo com uma reportagem publicada esta semana pelo Wall Street Journal. A equipe explorou uma vulnerabilidade no Discourse — o software de fórum que alimenta a plataforma comunitária da OpenAI — e usou o Claude para gerar o código de exploit que abriu a porta para tokens de autenticação de funcionários e, a partir daí, para a infraestrutura privada do GitHub.

Como eles entraram

Os pesquisadores identificaram uma falha na instalação do Discourse da OpenAI e usaram o Claude para escrever código de exploit funcional. Esse exploit capturou tokens de autenticação no servidor do Discourse. Crucialmente, alguns desses tokens também funcionavam no próprio ChatGPT, e um subconjunto pertencia a funcionários reais da OpenAI — dando à equipe acesso ao ambiente de produção.

Com essas credenciais, os pesquisadores conseguiram navegar por arquivos em um repositório que a OpenAI chama internamente de "Monorepo". Eles não acessaram os pesos do modelo e o WSJ não encontrou evidências de comprometimento de dados de clientes.

Divulgação privada e correção discreta

Os pesquisadores relataram a vulnerabilidade à OpenAI de forma privada em julho de 2026 pelo programa de bug bounty. A OpenAI corrigiu a falha no Discourse, revogou os tokens expostos e pagou à equipe uma recompensa de US$ 6.500.

A lição real: IA a serviço do ataque

O que torna este incidente significativo não é a sofisticação do bug subjacente — vulnerabilidades do Discourse não são raras — mas o papel que o Claude desempenhou em armá-lo rapidamente. As mesmas capacidades que tornam os grandes modelos de linguagem úteis para depuração de código os tornam eficazes para escrever código de exploit.

O incidente também é um lembrete de que a segurança em IA não é apenas uma questão do que um modelo se recusa a fazer. Controles de autorização, permissões de repositório e segmentação de rede são a verdadeira última linha de defesa.