Pesquisadores invadiram a OpenAI. A arma foi o Claude.
Em 23 de julho de 2026, uma equipe independente testava o programa de vulnerabilidades da OpenAI. Pediram ao Claude para escrever o exploit de uma falha conhecida. Ele não conseguiu.
Naquela noite, a Anthropic lançou o Opus 5. Na manhã seguinte, o Claude achou o caminho: o código que ele gerou abriu o fórum da OpenAI e entregou tokens válidos no ChatGPT, alguns de funcionários.
O detalhe que dói: a correção existia, o CVE não
A falha explorada já tinha correção disponível, mas nunca ganhou número de CVE. Sem o registro oficial, o software seguia rodando a versão vulnerável: os scanners não viam, o inventário não listava, o time de patch não priorizava.
A porta estava trancada no papel e aberta na prática. É o problema mais subestimado da cadeia de vulnerabilidades: a correção que não entra no registro oficial não entra em nenhum dos sistemas que defendem. É o mesmo padrão do controlador de identidade: o ativo que decide quem entra sendo o menos vigiado, agora com a agravante de que a vigilância dependia de um registro que não existia.
A velocidade é a lição estrutural
Entre a incapacidade e a invasão, a distância foi de uma noite e um lançamento de modelo.
Isso invalida a régua tácita de que o arsenal ofensivo muda devagar. Os modelos ofensivos melhoram na cadência dos lançamentos, e o programa de vulnerabilidades da própria OpenAI serviu de demonstração: a mesma tarefa, o mesmo modelo de base, resultados opostos separados por um release. Quem defende na velocidade de ontem já perdeu por defasagem, não por falta de orçamento.
A simetria também vale: a mesma força está disponível para o defensivo. Pedir a um modelo que ataque o próprio ambiente, em espelho isolado e com escopo provado, encontra o caminho antes de quem não vai pedir licença.
O bounty desalinhado com o risco
A OpenAI pagou 6.500 dólares de recompensa. Barato, considerando o alcance: com aqueles tokens, o caminho levava a GitHub, Slack e e-mails internos da empresa de IA mais valiosa do planeta.
Bounty calibrado pelo tamanho do report em vez do tamanho do risco atrai volume, não profundidade. O programa de recompensas é parte da defesa: precificar o alcance real do achado é o que traz o pesquisador certo antes do grupo errado, e o caso mostra qual é a diferença entre os dois.
Conclusão
O caso da OpenAI reúne as três lições do ano numa invasão só: IA ofensiva como estado da arte, CVE não numerada como porta aberta e bounty desalinhado como atrito.
O checklist de resposta é curto e vale para qualquer organização: numerar toda correção, cobrar registro do fornecedor, assumir a cadência de melhoria do arsenal adversário e usar a mesma IA no próprio perímetro, com escopo. A invasão da OpenAI custou uma noite e um lançamento; a defesa custa método contínuo. Um dos dois está à venda.