Uma pequena equipe apontou o modelo mais recente da Anthropic para a porta da frente da OpenAI e simplesmente entrou. A versão que a maioria das pessoas está lendo — espertinhos de fora constrangendo o criador do ChatGPT — erra o alvo. A invasão não dependeu de algo que a OpenAI esqueceu de corrigir. Dependeu do momento em que a Anthropic lançou um Claude mais capaz. Essa é a parte que merece atenção: um trabalho que havia emperrado por dias se resolveu sozinho assim que um novo carro-chefe foi ao ar.

Os envolvidos não eram criminosos. Pesquisadores da startup de segurança Hacktron trabalharam dentro do próprio programa de recompensa por bugs da OpenAI, encadearam duas ou três vulnerabilidades web sem glamour, chegaram às contas de funcionários da OpenAI e alcançaram um repositório interno de código — então pararam, registraram o que encontraram e receberam uma recompensa modesta. Deixaram um marcador inofensivo como prova e não foram além. Lido como crime, não passa de um não-evento. Lido como teste de capacidade, é um sinal de alerta.

Eis o mecanismo que a cobertura da imprensa técnica ignorou. A equipe primeiro executou o trabalho no Claude Opus 4.8, a versão ajustada para segurança, e ele emperrou em várias sessões. Então a Anthropic lançou o Opus 5. “O Opus 4.8 teve dificuldade em várias sessões para produzir um exploit funcional”, escreveu a equipe da Hacktron. “Horas após o lançamento do Opus 5, demos a ele o mesmo problema e ele conseguiu.” O VentureBeat reportou que o modelo mais recente escreveu um exploit funcional para um alvo de chip complicado em questão de horas. Nada nas defesas da OpenAI mudou nesse intervalo. O modelo mudou.

Esse é exatamente o tipo de salto — um avanço no que um usuário comum pode fazer com uma assinatura de prateleira — que a própria maquinaria de segurança da Anthropic foi construída para detectar e conter. A empresa mantém seu modelo cibernético mais capaz, o Mythos, atrás de controles de exportação e uma lista restrita de defensores verificados, e o chama de modelo de segurança mais forte que já construiu. Nada disso importou aqui. O nível disponível publicamente foi suficiente. Como disse Matt Fredrikson, CEO da Gray Swan, ao TechCrunch, “por US$ 200 por mês, qualquer um pode usar essas ferramentas e invadir uma empresa como a OpenAI”.

É aqui que a responsabilidade recai sobre a Anthropic, e não sobre sua rival. A Anthropic construiu toda sua identidade em cima da cautela — seu CEO, Dario Amodei, fala abertamente sobre os “perigos reais” da tecnologia e pressionou a indústria a desacelerar. Um modelo de lançamento geral que reduz mensuravelmente a barreira para invadir um laboratório concorrente é um contrapeso desconfortável para essa mensagem. Questionada sobre isso, a empresa não disse nada; a CBS News reportou que a Anthropic não respondeu a um pedido de comentário. A OpenAI, por sua vez, agradeceu aos pesquisadores, restringiu as permissões que os atacantes haviam abusado e revogou as sessões afetadas.

Os detalhes são quase banais. O caminho foi uma biblioteca desatualizada de processamento de imagens embutida no software Discourse que roda o fórum comunitário da OpenAI; um segundo deslize em como os tokens de login eram escopados permitiu que os pesquisadores montassem uma sessão comprometida até as contas de funcionários do ChatGPT e do Codex, e daí para o código privado. Toda a cadeia, do primeiro ponto de apoio ao acesso ao repositório, levou menos de três dias. A OpenAI pagou US$ 6.500. A equipe diz que gastou menos de US$ 3.000 em tempo de Claude em todo o esforço — dois meses de trabalho, a maior parte humano, comprimidos no final em uma máquina que já não precisava de um especialista.

O recurso escasso que costumava proteger um alvo nunca foi a correção. Era o especialista que conseguia encontrar as falhas, soldá-las e enxergar o caminho — e os meses que isso levava. Essa expertise acabou de ficar barata. Desta vez, a equipe que chegou ao código da OpenAI fez um relatório e recebeu a recompensa. A próxima que passar pela mesma barreira, na mesma assinatura, não tem obrigação nenhuma de fazer o mesmo.

Tags: OpenAI, Anthropic, Claude, Claude Opus 5, ciberataques, segurança da IA