A Apple entrou com uma ação judicial federal contra a OpenAI, acusando a empresa de inteligência artificial de orquestrar uma campanha sistemática para roubar projetos de hardware confidenciais, processos de fabricação e relacionamentos com fornecedores através de mais de 400 ex-funcionários que agora trabalham na OpenAI. A ação, que destaca riscos críticos de segurança interna e falhas de autenticação, foi arquivada em 10 de julho de 2026 no Tribunal Distrital dos Estados Unidos para o Distrito Norte da Califórnia.
Descoberta e escopo
O processo de 41 páginas nomeia a OpenAI, sua subsidiária de hardware io Products, o Diretor de Hardware Tang Yew Tan e o engenheiro de sistemas elétricos sênior ex-funcionário Chang Liu como réus. A Apple descreve o esquema alegado como operando "em todos os níveis, desde membros de sua Equipe Técnica até seu Diretor de Hardware", enquanto a OpenAI avança na construção de seu próprio dispositivo de hardware de consumo.
O caso revela uma falha de autenticação previamente desconhecida que foi explorada por Chang Liu após sua saída da Apple. Liu supostamente reteve um laptop emitido pela Apple após sua partida e disse a um ex-colega que ainda tinha "outro computador" para acessar os dados da empresa. A Apple afirma que Liu explorou essa falha de autenticação para obter acesso contínuo ao armazenamento de rede da Apple, baixando dezenas de arquivos confidenciais.
Exploração de falha de autenticação
Entre os arquivos baixados estava uma compilação com mais de mil páginas documentando o trabalho de engenharia, além de uma apresentação detalhando procedimentos de fabricação e teste para placas lógicas principais multicamadas. Em vez de divulgar a vulnerabilidade, a Apple afirma que Liu brincou sobre ela em mensagens, escrevendo "LOL" e "tão engraçado".
Além disso, Liu é acusado de orientar um colega, identificado em relatórios relacionados como Alyssa Peng, sobre quais materiais confidenciais estudar antes de sua própria entrevista na OpenAI e como remover arquivos sem alertar a equipe de segurança da Apple. Este comportamento destaca a gravidade da exploração de falhas de segurança por insiders mal-intencionados.
Insider threat e desligamento
Tang Yew Tan, que passou 24 anos na Apple e mais recentemente serviu como Vice-Presidente de Design de Produto para iPhone e Apple Watch, é acusado de usar conhecimento interno de projetos confidenciais da Apple para extrair mais informações durante entrevistas de trabalho da OpenAI com funcionários atuais da Apple. O processo alega que ele usou codinomes de projetos internos para perguntar aos candidatos "Qual é o plano?" para produtos não anunciados da Apple e direcionou candidatos a trazerem "peças reais" dos escritórios da Apple para sessões de "mostrar e contar".
A Apple alega ainda que Tan possuía e distribuía um documento interno "Need to Know" detalhando os procedimentos de desligamento e segurança da Apple, dando aos novos contratados da OpenAI aviso prévio dos check-ups forenses que enfrentariam ao demitir-se. A empresa afirma que observou um padrão mais amplo de funcionários que deixam a empresa evitando deliberadamente revisões de segurança de saída, o que atribui ao coaching da OpenAI sobre como evitar escrutínio.
Implicações para segurança corporativa
Este caso tem implicações profundas para profissionais de segurança da informação e CISOs. Ele destaca a necessidade de revisão rigorosa dos processos de desligamento e controle de acesso após a saída de funcionários. A exploração de uma falha de autenticação por um ex-funcionário demonstra que a segurança não termina quando o contrato de trabalho é encerrado.
A Apple também alega que a OpenAI enganou um parceiro de fabricação de longa data para realizar uma técnica de acabamento de metal proprietária da Apple sem autorização e, separadamente, abordou um fornecedor de bateria e energia usando terminologia interna para investigar detalhes sobre componentes específicos da Apple. Isso sugere um ataque à cadeia de suprimentos e à propriedade intelectual.
Medidas de mitigação recomendadas
Para mitigar riscos semelhantes, as organizações devem considerar as seguintes medidas:
- Revisão de Acesso Pós-Desligamento: Implementar verificações automatizadas para garantir que todos os acessos de rede e sistemas sejam revogados imediatamente após a saída de um funcionário.
- Monitoramento de Comportamento de Usuários: Utilizar ferramentas de UEBA (User and Entity Behavior Analytics) para detectar atividades anômalas, como acesso a dados fora do horário comercial ou download de grandes volumes de arquivos.
- Procedimentos de Desligamento Rigorosos: Garantir que os processos de desligamento incluam a recuperação de todos os dispositivos e a verificação de conformidade com políticas de segurança.
- Proteção de Propriedade Intelectual: Implementar controles de acesso baseados em privilégios mínimos e monitorar o acesso a documentos confidenciais.
Perguntas frequentes
Qual é a principal vulnerabilidade explorada?
A exploração de uma falha de autenticação previamente desconhecida que permitiu acesso contínuo ao armazenamento de rede da Apple.
Quais são as implicações para a OpenAI?
A OpenAI enfrenta acusações de apropriação indevida de segredos comerciais e violação de contrato, com a Apple buscando interromper o que chama de um padrão contínuo.
Como isso afeta a segurança interna?
O caso destaca a importância de monitorar e controlar o acesso de funcionários, especialmente durante e após o processo de desligamento.
Qual é o status atual do processo?
O processo foi arquivado em 10 de julho de 2026 e está em andamento no Tribunal Distrital dos Estados Unidos para o Distrito Norte da Califórnia.