Falha em skill da OpenAI expôs tokens de apps por dias

Segurança Digital

Vulnerabilidade em skill oficial da OpenAI permitiu vazamento de tokens essenciais por vários dias.

Leia também: Ahold Delhaize enfrenta incidente cibernético nos EUA

Uma falha em uma skill oficial da OpenAI levou aplicações em produção a enviarem tokens de autenticação para um domínio fictício, criando uma vulnerabilidade inédita na cadeia de suprimentos de IA e abrindo espaço para roubo de credenciais e dados sensíveis.

Domínio fictício virou alvo de teste e expôs tokens reais

O problema estava em uma skill mantida no repositório oficial de skills da OpenAI, usada para ensinar agentes de IA a implantar aplicações na plataforma Render. No código, a skill instruía os sistemas a mandar tokens para o endereço render-internal.com, tratado como se fosse um serviço interno confiável, embora o domínio nem sequer estivesse registrado.

Pesquisadores do AIR Security’s Research Lab identificaram o domínio não registrado, fizeram seu registro e o apontaram para um sinkhole passivo — um servidor configurado apenas para escutar, sem responder. A partir daí, passaram a receber tokens e chamadas de API de aplicações reais em produção, comprovando que a vulnerabilidade tinha impacto concreto.

Em testes adicionais, o time usou o modelo Codex e verificou que o domínio hallucinated aparecia embutido em códigos de aplicação como opção padrão de configuração, o que ampliava o risco de uso inadvertido por desenvolvedores que confiavam na skill oficial.

Entenda o contexto

Skills são arquivos de instrução que ensinam agentes de IA a interagir com serviços externos, como provedores de nuvem ou APIs de terceiros. No caso da OpenAI, o repositório oficial no GitHub reúne componentes publicados ou validados por fornecedores verificados, o que tende a criar um alto grau de confiança por parte de empresas e programadores.

Essa confiança, porém, virou ponto fraco. Ao incluir um domínio inventado e tratá-lo como infraestrutura interna, a skill abriu espaço para que qualquer pessoa que registrasse o endereço passasse a receber tokens secretos enviados por agentes e aplicações que seguiam cegamente as instruções.

Segundo a análise da AIR Security, se pesquisadores não tivessem se deparado antes com a falha, um atacante poderia registrar o mesmo domínio e transformar o erro em um ataque de cadeia de suprimentos, capturando credenciais de produção sem disparar alertas óbvios.

Correção envolveu OpenAI e Render

O erro foi introduzido em um commit da skill em janeiro e permaneceu ativo até meados de agosto, quando os pesquisadores notificaram OpenAI e Render. Após o alerta, a Render removeu todas as referências a render-internal.com da skill, enquanto a OpenAI apagou o plugin da Render do seu repositório openai/plugins.

Como parte da mitigação definitiva, o domínio render-internal.com foi transferido para a custódia da Render, reduzindo o risco de que fosse assumido por terceiros no futuro. Com a correção em vigor, o AIR Security’s Research Lab divulgou um relatório técnico detalhando a vulnerabilidade e o caminho até a correção.

O caso reforça que, mesmo em repositórios oficiais e curados, componentes podem carregar erros graves, suposições inseguras ou dependências que abrem brechas para exfiltração de tokens e chaves secretas de produção.

Risco estrutural na cadeia de suprimentos de IA

Para Niv Hoffman, cofundador e CTO do AIR Security, o episódio mostra que skills de IA precisam ser encaradas como parte crítica da cadeia de suprimentos de software. “Skills should be vetted and monitored like any other part of the software supply chain, so they can be patched or revoked when a vulnerability is found in one of them”, afirmou.

Na prática, isso significa que empresas que adotam agentes e automações baseadas em IA não podem tratar skills e plugins como simples exemplos de código ou documentação avançada. Eles passam a configurar, de fato, o comportamento de sistemas em produção, com poder para redirecionar tráfego, manipular credenciais e alterar fluxos de implantação.

O incidente também joga luz sobre um vetor emergente de ataques: a manipulação de arquivos de instrução de IA — como skills e plugins — para fins maliciosos, explorando a confiança automática de agentes nesses componentes.

Skill trojanizado alcançou 1,7 milhão de instalações

O alerta ganha peso quando comparado a casos recentes fora do ecossistema da OpenAI. Em um episódio citado pelos pesquisadores, um skill trojanizado typosquattou serviços populares de IA, como Paperclip e Browser Use, em um ecossistema aberto de agentes. Com nomes parecidos e aparência legítima, conseguiu acumular 1,7 milhão de instalações.

Depois de instalado, o skill malicioso instruía agentes a buscar no GitHub e instalar um ladrão de credenciais, numa cadeia de ataque que dependia justamente da confiança cega dos agentes nas instruções recebidas.

Esses exemplos sugerem um cenário em que ataques à cadeia de suprimentos de IA tendem a se tornar mais frequentes e sofisticados, mirando desde o código das skills até os domínios e serviços para onde os agentes são orientados a enviar dados.

Pressão por revisão e monitoramento contínuos

A exposição de tokens reais por causa de um domínio hallucinated em uma skill oficial deve acelerar a revisão de processos de validação em plataformas de IA. A expectativa na comunidade de segurança é que OpenAI, Render e outros fornecedores passem a adotar camadas adicionais de checagem, incluindo verificação de domínios usados em exemplos, auditoria de dependências e capacidade de revogar rapidamente componentes comprometidos.

Para empresas usuárias, o recado é claro: mesmo quando lidam com repositórios oficiais, é preciso tratar skills e plugins como software de terceiros em produção, com avaliação de risco, monitoramento de uso e plano de resposta para vulnerabilidades que, como neste caso, podem permanecer meses em ambiente real até serem descobertas.

Fonte: matéria original