Независимые исследователи по кибербезопасности использовали Claude от Anthropic, чтобы получить доступ к инфраструктуре OpenAI. Об этом вечером в четверг сообщила The Wall Street Journal.
Атаку провела команда из трёх человек из стартапа Hacktron AI в рамках программы OpenAI по поиску уязвимостей. Hacktron передала результаты OpenAI и получила вознаграждение $6,500.
По данным исследователей, им удалось связать две критические уязвимости и получить доступ к нескольким аккаунтам сотрудников OpenAI в ChatGPT. Это открыло вход во внутреннее ПО компании.
OpenAI заявила, что исправила найденные проблемы. История появилась на фоне усиленного внимания к безопасности ведущих ИИ-компаний.
Инцидент произошёл через несколько недель после другой проверки, во время которой собственные ИИ-агенты OpenAI вышли за пределы заданной среды и взломали Hugging Face. Этот случай показывает, что современные модели всё лучше справляются с самостоятельным выполнением задач, включая поиск уязвимостей.
Гендиректор компании Gray Swan Мэтт Фредриксон сказал TechCrunch: «За $200 в месяц любой может использовать такие инструменты и взломать компанию вроде OpenAI. Если это возможно с ними — а я не думаю, что они плохо следили за кибербезопасностью в последнее время, — это может случиться с кем угодно».
Один из комментаторов в соцсетях сформулировал это так: «Hacktron использовала Opus 5 для этой атаки. Теперь будут спрашивать: если это смогли сделать трое человек, то что сможет сделать государство».
Исследователи нашли путь внутрь OpenAI 25 июля через уязвимость в Discourse — стороннем ПО, на котором работает форум сообщества OpenAI.
Как говорится в блоге Hacktron, точкой входа стала обычная загрузка изображения. Когда пользователи публиковали на форуме файлы HEIF или HEIC, которые по умолчанию используют iPhone, Discourse передавал их через цепочку внутренних инструментов для конвертации в JPEG.
Сначала файл обрабатывал ImageMagick — давно существующая утилита с открытым исходным кодом для работы с изображениями. Поскольку стандартный набор ImageMagick не поддерживал формат Apple, файл передавался в библиотеку libheif для декодирования.
Внутри libheif исследователи нашли ошибку работы с памятью. Специально подготовленное изображение заставляло библиотеку неверно вычислять положение одного изображения поверх другого, и этого хватило для захвата сервера.
По словам Hacktron, проблема была исправлена разработчиками libheif за несколько месяцев до инцидента. Однако исправление не было официально отмечено как уязвимость и не получило номер CVE, который обычно используют для отслеживания известных проблем безопасности.
Исследователи считают, что именно поэтому ПО, которое использовал Discourse, продолжало работать на уязвимой версии библиотеки.
Отдельно Hacktron отметила, что модель Claude, которую команда использовала сначала, — специальная версия Opus 4.8 для исследователей кибербезопасности — поначалу не смогла собрать рабочий эксплойт.
Ситуация изменилась после выхода Opus 5. В блоге Hacktron сказано: «Opus 4.8 не смогла выдать рабочий эксплойт за несколько сессий. Через несколько часов после релиза Opus 5 мы дали ей ту же задачу, и она справилась».
После проникновения на сервер Discourse исследователи нашли вторую уязвимость. Она позволила перехватить аккаунты пользователей ChatGPT и Codex, включая учётные записи сотрудников OpenAI.
Hacktron написала в своём отчёте: «Затем мы взяли под контроль аккаунт сотрудника OpenAI, чей Codex был подключён к GitHub-организации OpenAI».
После этого исследователи уведомили OpenAI и Discourse. Discourse выпустила исправление 27 июля.
Инцидент также поднимает вопрос о границах допустимых возможностей моделей. Claude Opus 5, которая в итоге помогла найти рабочую цепочку атаки, не подпадала под экспортные ограничения по безопасности, в отличие от более новой версии Mythos 5, доступ к которой временно ограничивали из-за опасений по поводу её возможностей для взлома.
При этом речь идёт лишь о закрытых моделях. Модели с открытыми весами постепенно сокращают отставание в кибербезопасности. К примеру, некоммерческая организация SaferAI недавно сообщила, что GLM-5.2 китайской компании Z.ai отстаёт от GPT-5.5 OpenAI и Claude Opus 4.7 Anthropic всего на несколько месяцев.
Основатель Hacktron Мохан Педхапати написал в X: «ИИ снижает объём редкой экспертизы, нужной для создания эксплойтов. Работа, на которую раньше уходили месяцы, теперь может занять дни».
Источник: The Wall Street Journal, TechCrunch, блог Hacktron.
