Sony premia hacker com US$50 mil após relatar uma vulnerabilidade do PS5 usando IA — agora ele é inimigo número um da comunidade

Um hacker causou alvoroço na comundidade do PlayStation 5 ao relatar, de forma privada, uma vulnerabilidade à Sony e receber uma recompensa de US$ 50 mil, em vez de manter a descoberta em sigilo para os jogadores.

Um hacker que utiliza o pseudônimo “Jordy” recebeu uma recompensa da Sony por relatar uma vulnerabilidade — descoberta com o auxílio de IA — no console PS5. A falha foi comunicada por meio da HackerOne, uma plataforma que colabora com empresas para corrigir problemas em seus produtos e serviços. Basicamente, a Sony paga hackers para encontrar vulnerabilidades e, na sequência, oferece uma quantia em dinheiro para que eles não as divulguem antes que a brecha de segurança seja corrigida.

Normalmente, não haveria nada de particularmente incomum no fato de uma invasão ser relatada à Sony — mas, no caso desta vulnerabilidade no PS5, um renomado engenheiro de segurança a descobriu meses atrás, porém optou por guardá-la até o lançamento de GTA 6. Então, Jordy a descobriu com o auxílio de IA e a relatou, desencadeando a controvérsia.

A vulnerabilidade em questão é uma “falha no hipervisor” que afeta o PS5 em versões de firmware da 13.60 até a 14.00. Uma falha no hipervisor é um defeito na camada central de software ou firmware, que permite a hackers executar código no kernel — por exemplo, para inicializar o Linux em um aparelho que não foi projetado para isso.

É possível que você tenha visto uma série de manchetes sobre como a IA impulsionou uma explosão de ataques cibernéticos por toda a internet. Especialistas em segurança da informação estão chamando este mês de “Outubro Negro”, devido a diversos incidentes de segurança de grande escala e à revelação de vulnerabilidades decorrentes do uso crescente de inteligência artificial em pesquisas.

O engenheiro de segurança do Google, Andy Nguyen — conhecido como theflow0 —, vinha trabalhando há meses para fazer o Linux rodar no PS5. De fato, em março, theflow0 chegou a exibir os resultados de seu trabalho. Contudo, um relatório de falha gerado por uma IA, enviado por Jordy, pôs fim a esse esforço. “Estou me afastando da cena do PS5 e encerrando todo o meu trabalho com o Linux no console”, afirmou ele. “Depois de dedicar tanto esforço e meses da minha vida a isso — incluindo planos para concluir o suporte ao PS5 Pro e lançá-lo em 2027 —, tudo foi por água abaixo.”

“O cenário, que antes era composto por um grupo de pesquisadores altamente talentosos, agora não passa de um bando de novatos usando LLMs e criando exploits que eles nem sequer compreendem. Essa molecada sem noção encontrou a única falha restante no hypervisor — que eu, inclusive, já tinha descoberto há algum tempo — e decidiu reportá-la à Sony.”

Numa conversa com o IGN US, Jordy admitiu ter usado IA generativa para encontrar o bug que lhe rendeu US$ 50 mil. Ele alegou que theflow0 encontrou o bug em 2025, mas o manteve em segredo. Quando Jordy anunciou que ele próprio havia encontrado um bug no hipervisor, theflow0 entrou em contato para ver se era o mesmo que ele encontrou no ano anterior. Jordy e theflow0 inicialmente concordaram em não relatar o bug ao HackerOne, mas outro pesquisador rapidamente encontrou o mesmo bug logo depois. Jordy tomou a decisão de relatar o bug quando outros pesquisadores o encontraram usando IA generativa, fechando a janela para reivindicar a recompensa da Sony.

“Decidi que iria denunciar”, disse Jordy. “Se eu e outra pessoa podemos encontrar isso com o LLM, outra pessoa também pode.”

Não foi possível contatar theflow0 para obter um comentário.

Não foi apenas o uso de IA que tornou polêmica a solicitação de recompensa feita por Jordy. Jogadores que desejavam instalar o Linux em seus consoles estão insatisfeitos por causa de um determinado videogame que será lançado em novembro. Antes de a falha ser relatada, era possível carregar o Linux em um PS5 e, ainda assim, utilizar o console por meio do sistema operacional da Sony — o que permitiria que usuários do Linux jogassem GTA 6 quando não estivessem utilizando o jailbreak.

“As pessoas queriam comprar e jogar GTA 6 legalmente no sistema operacional padrão do PS5, sem perder a possibilidade de usar o Linux — por meio de dual-boot — no mesmo console”, disse ao IGN US madwax0r, criador do Kaishaku, um rastreador de emuladores para PS5 que também mantém uma lista negra de golpes. “Pense no projeto Linux para PS5 como uma forma de transformar seu console em uma *Steam Machine* de alto desempenho, que roda a partir de uma unidade USB externa. É uma modificação temporária via software; portanto, sempre que você reinicia o console, ele volta a ser um PS5 comum.”

"O detalhe é que, para baixar e jogar GTA 6 no dia 19 de novembro, a Sony exige que você atualize o firmware do sistema para a versão mais recente e faça login na PSN. O theflow0 queria que os pesquisadores adiassem a divulgação da falha no hypervisor para depois de 19 de novembro, de modo que o firmware disponibilizado no dia do lançamento — necessário para rodar GTA 6 — ainda contivesse a vulnerabilidade não corrigida. Dessa forma, os jogadores poderiam atualizar seu PS5 no dia do lançamento, comprar o GTA 6 legalmente e, ainda assim, utilizar o exploit para iniciar o Linux na mesma máquina."

É de se supor que alguns teriam usado a falha para fins mais nefastos. , devido à sua política de eliminar os discos físicos até 2028. A pirataria de jogos — incluindo GTA 6 — é uma possibilidade real, à medida que integrantes da cena homebrew continuam utilizando inteligência artificial para analisar o funcionamento interno do PS5; enquanto isso, a Sony tenta acompanhar cada possível jailbreak lançando novas atualizações de firmware.

Como Jordy — — relatou a falha prontamente, a Sony teve a oportunidade de corrigir a vulnerabilidade antes do lançamento de GTA 6. Isso coloca os modders que desejam executar o Linux diante de um dilema: manter o PS5 offline para usar o Linux, ou atualizar o console — preparando-o para GTA 6 — e, com isso, perder a possibilidade de utilizar o Linux.

“O que realmente jogou lenha na fogueira foi a questão da IA”, disse madwax0r. “Historicamente, falhas em hipervisores eram tão raras que um pesquisador podia ficar com uma descoberta guardada para si, tranquilamente, por um ano. Agora, com pessoas utilizando LLMs (grandes modelos de linguagem) para analisar códigos de consoles em busca de vulnerabilidades, vários pesquisadores acabam encontrando as mesmas falhas simultaneamente. Theflow queria reservar a falha para a comunidade, enquanto Jordy — ao ver que um terceiro hacker também a encontrou usando ferramentas de IA e enfrentando uma grande pressão pessoal devido à doença terminal de sua mãe — optou por garantir o pagamento de US$ 50 mil, antes que outra pessoa o fizesse.”

Parte do motivo pelo qual o relato de Jordy sobre a recompensa viralizou foi uma publicação anunciando o recebimento do valor. “Acho que, pelo menos, dá para comprar GTA com isso”, , junto com uma captura de tela do pagamento. No momento em que este texto foi escrito, o tuíte contava com 1,8 milhão de visualizações. O IGN US perguntou a Jordy se ele achava que o tuíte poderia ter sido o que irritou o público. “Provavelmente, mas esse era justamente o objetivo”, respondeu ele. “Tenho quase 30 anos. Não estou nem aí se as pessoas não conseguem piratear um jogo; muito menos tenho interesse em facilitar a criação de mods para ele.”

Devido ao momento em que a recompensa foi solicitada, parte do público também acredita que Jordy tenha recebido orientações de theflow0 sobre como encontrar a falha — o que é mais um motivo para a indignação de alguns. O pesquisador nega, afirmando que a descobriu por conta própria. “Sim, com a ajuda de IA”, disse ele. “Muita gente quer minimizar isso, mas ninguém mais está encontrando falhas desse tipo.” Jordy acrescentou que theflow0 é “uma lenda” e uma figura respeitada no setor.

Desde que anunciou ter recebido a recompensa de US$ 50 mil, Jordy tem enfrentado críticas constantes nas redes sociais por parte de pessoas do meio que acreditam que ele deveria ter esperado. “US$ 50 mil na conta, mas nenhum amigo restou. Valeu a pena?”, perguntou uma pessoa. “Vocês acham mesmo que eu perdi amigos por relatar uma falha que eu mesmo encontrei? E, mesmo com quem não ficou satisfeito com a minha decisão, ainda posso conversar em particular”, respondeu Jordy. “Vocês agem como se eu fosse um terrorista doméstico ou algo do tipo?”

Alguns, no entanto, apoiaram a decisão de Jordy de aceitar a recompensa. “50 mil dólares pagam as contas; a sua opinião, não”, disse uma pessoa em resposta a um crítico. “Você também denunciaria um bug para ganhar 50 mil dólares; é uma quantia que muda a vida de muita gente”, acrescentou outra. “Ele recebeu 50 mil dólares, seu idiota! O que você achava que ele ia fazer? Recusar, só para que você pudesse jogar GTA 6 em um Nintendo DS?”, comentou mais uma.

Na semana passada, a Sony lançou uma nova atualização de firmware para o PS5 que, segundo alguns, teria como objetivo combater os esforços contínuos da comunidade homebrew para realizar o jailbreak do console. O cenário assemelha-se a um jogo de "bater na toupeira" (Whac-A-Mole): a comunidade homebrew trabalha para desenvolver um novo jailbreak para a versão mais recente do firmware do PS5, apenas para ter de recomeçar o processo assim que a Sony lança uma nova atualização voltada a reforçar a segurança. Isso gerou preocupações de que, caso um jailbreak para PS5 seja disponibilizado para a versão de firmware exigida pelo GTA 6 — cujo lançamento ocorrerá em menos de um mês —, o jogo da Rockstar possa acabar sendo pirateado no PS5 e, talvez, até disponibilizado para PC.

Jordy também afirmou que esta não será a última falha no hipervisor a ser descoberta no PS5. O pesquisador de cibersegurança Eric Parker concordou. “Imagino que, provavelmente, surgirá outra vulnerabilidade em algum momento”, disse ele. Se as alegações de Jordy forem verdadeiras, esta pode não ser a última falha no hipervisor do PS5, o que significa que hackers poderiam encontrar uma maneira de contornar a atualização 14.00 no futuro. O Linux já está rodando em consoles PS5 que ainda não receberam a atualização.

A questão para a Sony é se ela conseguirá fazer o suficiente para, com o tempo, vencer esse jogo de "bater na toupeira" contra a cena de desenvolvimento independente não oficial. Trata-se, de certa forma, de uma crise existencial para a Sony, de quem editoras e desenvolvedoras dependem para garantir a segurança de seus lançamentos no PlayStation. Contudo, com o surgimento de modelos de IA poderosos, os riscos aumentaram consideravelmente.

Para Jordy, o dinheiro representa tempo — tempo que ele pode dedicar à família e aos cuidados com a mãe doente. “Continuarei com as pesquisas”, disse ele. “É que, ultimamente, não tenho tido tempo nenhum.”