Especialista Cria Exploit para Chrome com Claude Opus Gastando US$ 2.283
Um especialista em segurança utilizou a inteligência artificial Claude Opus para desenvolver um exploit funcional para o Chrome, focando em uma vulnerabilidade 'out of bounds'. O projeto custou US$ 2.283 e levou uma semana, demonstrando o potencial da IA na criação de ferramentas de ataque.
MundiX News·09 de maio de 2026·3 min de leitura·👁 4 views
Um CTO da Hacktron demonstrou como ele utilizou o modelo de linguagem Claude Opus 4.6 para criar uma cadeia de exploits funcional para o motor JavaScript V8 no Chrome 138. Por esse trabalho, ele poderia receber cerca de US$ 15.000 através de um programa de bug bounty, e no mercado negro, o custo de um novo zero-day pode ser muito maior. O pesquisador gastou US$ 2.283 no processo.
Mohan Pedhapati, conhecido como s1r1us, descreveu seu experimento em um blog da empresa. Ele usou o modelo de IA da Anthropic para desenvolver um exploit completo, visando um bug do tipo 'out of bounds' no motor V8 do Chrome 146. O experimento levou uma semana e exigiu cerca de 20 horas de trabalho manual para 'tirar' o modelo de becos sem saída. Pedhapati relata que gastou 2,3 bilhões de tokens e US$ 2.283 no uso da API. Como resultado, o exploit funcionou, e o especialista o usou para executar uma calculadora no sistema alvo (uma maneira clássica de demonstrar uma comprometimento bem-sucedido).
De acordo com Pedhapati, US$ 2.283 é uma quantia considerável para uma pessoa, mas insignificante em comparação com as semanas de trabalho que um especialista humano precisaria para criar um exploit semelhante sem a ajuda da IA. Mesmo com o tempo gasto, os custos totais ainda são significativamente menores do que a recompensa teórica por tal vulnerabilidade (cerca de US$ 15.000), que pode ser obtida através dos programas oficiais de bug bounty do Google e Discord. E se considerarmos o mercado negro, o custo de uma nova vulnerabilidade zero-day pode ser notavelmente maior. Pedhapati escolheu o Discord como alvo de seu ataque, pois o mensageiro é construído no framework Electron e usa o Chrome 138 (nove versões atrás da versão atual). Este é um problema comum em aplicativos Electron: mesmo que a versão mais recente do Electron (41.2.1, lançada em 15 de abril) já inclua o Chrome 146.0.7680.188, os desenvolvedores de aplicativos nem sempre atualizam as dependências rapidamente, e os usuários nem sempre instalam as atualizações rapidamente. Pedhapati acredita que a melhoria da geração de código com a ajuda da IA exige uma revisão das abordagens de segurança em geral. 'Não importa se Mythos é superestimado ou não. A curva não está se nivelando. Tarde ou cedo, qualquer script kiddie com paciência suficiente e uma chave de API poderá quebrar software não corrigido. A questão não é 'se', mas 'quando'', afirma o pesquisador. Ele também chama a atenção para o fato de que cada patch, na verdade, se torna uma dica para criar um exploit. Para projetos de código aberto, isso é especialmente crítico: as correções geralmente se tornam publicamente disponíveis no código antes mesmo do lançamento de uma nova versão. Na opinião de Pedhapati, os desenvolvedores devem prestar mais atenção à segurança na fase anterior ao envio do código, monitorar mais de perto as dependências, implementar atualizações de segurança automáticas e ser mais cautelosos ao publicar detalhes de vulnerabilidades. 'Agora, cada commit público é o tiro de partida para qualquer pessoa que tenha uma chave de API e uma equipe forte capaz de transformar um bug em uma arma', conclui o pesquisador.
Um CTO da Hacktron demonstrou como ele utilizou o modelo de linguagem Claude Opus 4.6 para criar uma cadeia de exploits funcional para o motor JavaScript V8 no Chrome 138. Por esse trabalho, ele poderia receber cerca de US$ 15.000 através de um programa de bug bounty, e no mercado negro, o custo de um novo zero-day pode ser muito maior. O pesquisador gastou US$ 2.283 no processo.
Mohan Pedhapati, conhecido como s1r1us, descreveu seu experimento em um blog da empresa. Ele usou o modelo de IA da Anthropic para desenvolver um exploit completo, visando um bug do tipo 'out of bounds' no motor V8 do Chrome 146. O experimento levou uma semana e exigiu cerca de 20 horas de trabalho manual para 'tirar' o modelo de becos sem saída. Pedhapati relata que gastou 2,3 bilhões de tokens e US$ 2.283 no uso da API. Como resultado, o exploit funcionou, e o especialista o usou para executar uma calculadora no sistema alvo (uma maneira clássica de demonstrar uma comprometimento bem-sucedido).
De acordo com Pedhapati, US$ 2.283 é uma quantia considerável para uma pessoa, mas insignificante em comparação com as semanas de trabalho que um especialista humano precisaria para criar um exploit semelhante sem a ajuda da IA. Mesmo com o tempo gasto, os custos totais ainda são significativamente menores do que a recompensa teórica por tal vulnerabilidade (cerca de US$ 15.000), que pode ser obtida através dos programas oficiais de bug bounty do Google e Discord. E se considerarmos o mercado negro, o custo de uma nova vulnerabilidade zero-day pode ser notavelmente maior. Pedhapati escolheu o Discord como alvo de seu ataque, pois o mensageiro é construído no framework Electron e usa o Chrome 138 (nove versões atrás da versão atual). Este é um problema comum em aplicativos Electron: mesmo que a versão mais recente do Electron (41.2.1, lançada em 15 de abril) já inclua o Chrome 146.0.7680.188, os desenvolvedores de aplicativos nem sempre atualizam as dependências rapidamente, e os usuários nem sempre instalam as atualizações rapidamente. Pedhapati acredita que a melhoria da geração de código com a ajuda da IA exige uma revisão das abordagens de segurança em geral. 'Não importa se Mythos é superestimado ou não. A curva não está se nivelando. Tarde ou cedo, qualquer script kiddie com paciência suficiente e uma chave de API poderá quebrar software não corrigido. A questão não é 'se', mas 'quando'', afirma o pesquisador. Ele também chama a atenção para o fato de que cada patch, na verdade, se torna uma dica para criar um exploit. Para projetos de código aberto, isso é especialmente crítico: as correções geralmente se tornam publicamente disponíveis no código antes mesmo do lançamento de uma nova versão. Na opinião de Pedhapati, os desenvolvedores devem prestar mais atenção à segurança na fase anterior ao envio do código, monitorar mais de perto as dependências, implementar atualizações de segurança automáticas e ser mais cautelosos ao publicar detalhes de vulnerabilidades. 'Agora, cada commit público é o tiro de partida para qualquer pessoa que tenha uma chave de API e uma equipe forte capaz de transformar um bug em uma arma', conclui o pesquisador.
