Pwn2Own Irlanda: 32 falhas inéditas no 1º dia, incluindo OpenAI Codex

No primeiro dia do Pwn2Own Irlanda 2026, pesquisadores de segurança exploraram 32 falhas inéditas (as chamadas zero-days) e receberam US$ 388,5 mil em prêmios, segundo a BleepingComputer. A competição é organizada pela Zero Day Initiative (ZDI), da Trend Micro, e entre os alvos desta edição havia ferramentas de IA usadas no dia a dia de empresas e desenvolvedores.

Entre as ferramentas atacadas, a reportagem cita o OpenAI Codex, o agente de programação que roda na nuvem, derrubado com uma única falha de injeção de argumentos, e o LiteLLM, uma camada muito usada para conectar aplicativos a vários modelos de IA, no qual pesquisadores demonstraram falhas inéditas. O artigo não informa o valor pago por esses dois casos.

O que aconteceu no primeiro dia

O Pwn2Own é uma competição em que equipes tentam invadir produtos reais com falhas que o fabricante ainda não conhece. Quando uma tentativa dá certo, o fabricante é avisado e tem 90 dias para lançar uma correção antes de a ZDI divulgar os detalhes publicamente. Por isso, as falhas descobertas agora só devem ficar totalmente conhecidas depois desse prazo.

A lista de alvos do primeiro dia foi variada. Segundo a BleepingComputer, o Samsung Galaxy S26 foi invadido duas vezes, por equipes diferentes, ainda que alguns dos erros usados já fossem conhecidos pela Samsung. Um Philips Hue Bridge Pro caiu por uma cadeia de sete falhas e rendeu US$ 40 mil à dupla da VinSOC que liderou o placar, e essa mesma dupla ganhou outros US$ 40 mil por uma cadeia de cinco falhas contra o Oracle Autonomous AI Database. Duas multifuncionais, da Lexmark e da Canon, e uma caixa de som Sonos Era 300 também foram comprometidas.

• Total do dia 1: 32 falhas inéditas e US$ 388,5 mil.
• Alvos de IA: OpenAI Codex, LiteLLM e Oracle Autonomous AI Database.
• Prazo de correção: 90 dias antes da divulgação pública.
• Resultado em aberto: o Google Pixel 10 foi tentado, mas a equipe não conseguiu executar o ataque no tempo disponível.

Por que as ferramentas de IA entraram na mira

Ferramentas de IA concentram acesso. Um agente de programação costuma ter permissão para ler e alterar código, e uma camada como o LiteLLM costuma guardar chaves de acesso de vários provedores de IA. Quando uma delas é comprometida, o impacto vai além do próprio programa. Isso explica por que o evento reservou parte do cronograma para infraestrutura de IA: a reportagem diz que, nos dias 2 e 3, haveria novas tentativas contra alvos desse tipo.

A comparação com o ano passado mostra uma competição ainda em andamento: o evento de 2025 pagou US$ 1.024.750 por 73 falhas inéditas no total, e o primeiro dia deste ano, sozinho, representa menos da metade desse montante. Como a reportagem não detalha o prêmio por alvo, não dá para dizer quanto do total veio de ferramentas de IA, e os números finais só saem quando o evento termina.

Esse tipo de alerta se soma a outros casos recentes. Já cobrimos aqui a falha que afetou agentes de código como Claude Code, Codex, Copilot e Gemini e o ataque que atingiu agentes de IA em 395 organizações. O padrão é parecido: quanto mais poder um agente tem, mais atraente ele fica para quem ataca.

Por que isso importa para você

Se você usa IA no trabalho, a notícia não pede pânico, mas sim hábitos simples. O primeiro é manter as ferramentas atualizadas, porque as correções chegam por atualização depois que o fabricante é avisado. O segundo é limitar o que cada ferramenta pode acessar: um agente que só precisa ler uma pasta não deveria ter acesso a toda a máquina. O terceiro é guardar chaves e senhas fora do código e girar essas chaves quando houver suspeita de problema.

Para quem contrata ou escolhe ferramentas, vale seguir um roteiro de avaliação. O checklist para escolher uma ferramenta de IA com segurança traz perguntas práticas sobre permissões, armazenamento de dados e histórico de correções, e o texto sobre IA e privacidade e o que você entrega sem perceber ajuda a rever que informações realmente precisam passar pela ferramenta.

No Brasil, o ponto de atenção é o de sempre em pequenas empresas: ferramentas adotadas por conta própria, sem ninguém responsável por atualizar e revisar acessos. Definir uma pessoa para acompanhar avisos de segurança dos fornecedores já reduz boa parte do risco. E, se a equipe usa agentes que executam tarefas sozinhos, convém registrar o que cada um pode fazer, como explica o guia sobre agentes de IA e o futuro do trabalho autônomo.

O que observar a seguir

Três pontos merecem acompanhamento. O primeiro é o resultado completo do evento, que continua nos dias seguintes e deve trazer novos casos de infraestrutura de IA. O segundo é a resposta dos fabricantes, que têm 90 dias para corrigir antes da divulgação pública, e os avisos de atualização que vierem depois. O terceiro é se o Pwn2Own mantém ou amplia o espaço dedicado a ferramentas de IA nas próximas edições, o que indicaria como a indústria de segurança avalia esse risco. Até lá, a regra é a mesma: atualizar, limitar acessos e não confiar cegamente em ferramentas que guardam chaves.