Sicherheitsforscher, die Anthropics Claude nutzten, um in OpenAI einzudringen, schlagen nach weniger als 72 Stunden Alarm: Die KI-Branche ist auf die Risiken ihrer eigenen Technologie nicht vorbereitet.
Die wichtigsten Punkte:
- Ein Dreierteam kombinierte zwei Schwachstellen und übernahm im Juli OpenAI-Mitarbeiterkonten.
- OpenAI schloss die eigene Lücke binnen rund 14 Stunden und zahlte ein Kopfgeld von 6.500 Dollar.
- Laut den Forschern haben KI-Tools den Zeit- und Kompetenzaufwand für die Bewaffnung von Softwarefehlern drastisch gesenkt.
Einbruch bei OpenAI durch Hacktron
Ausgangspunkt war der 25. Juli: Forscher des Security-Start-ups Hacktron erlangten Remote-Code-Ausführung im öffentlichen Community-Forum von OpenAI, das auf Software von Discourse basiert. Dazu luden sie eine präparierte Bilddatei hoch, die eine veraltete, ungepatchte Dekodierungsbibliothek auf dem Server ausnutzte. Eine weitere Schwachstelle im Single-Sign-on-System von OpenAI ermöglichte ihnen anschließend die Übernahme von ChatGPT- und Codex-Konten von Mitarbeitern.
Das Team um Harsh Jaiswal, Mohan Pedhapati und Rahul Maini nutzte den Codex-Zugang eines Mitarbeiters, um in OpenAIs internem Code-Repository einen harmlosen Pull Request zu eröffnen – ein Beleg für den Zugriff, ohne Code einsehen zu müssen. Danach beendeten die Forscher alle weiteren Tests und meldeten die Schwachstellen noch am selben Tag.
Den funktionsfähigen Exploit entwickelten die Sicherheitsforscher mit Claude Opus 5, nachdem eine frühere Modellversion über mehrere Sitzungen hinweg gescheitert war. OpenAI behob den eigenen Fehler rund 14 Stunden später und zahlte ein Kopfgeld von 6.500 Dollar. Nach Angaben des Unternehmens bezog sich die Prämie auf die eigene Schwachstelle, nicht auf den Angriff über das Forum. Ein Sprecher bestätigte den Vorfall und dankte den Forschern für die Meldung.
Lesen Sie auch: Nvidia-Prognosen für 2030 zeigen eine Spanne von 727 bis 28.560 Dollar
Warnung von Mohan Pedhapati
Sicherheitsexperten sagen, die Lehre aus dem Vorfall gehe weit über ein einziges ungepatchtes Forum hinaus. Sie warnen davor, dass die Mittel, die KI-Entwickler für den Schutz ihrer Systeme aufwenden, deutlich hinter der Schlagkraft ihrer Modelle zurückbleiben.
Pedhapati erklärte, OpenAIs Abhängigkeit von Standard-Business-Software, Consumer-Browsern und anderen über das öffentliche Internet erreichbaren Anwendungen vergrößere die Angriffsfläche. „Arbeit, die früher Monate dauerte, kann heute in Tagen erledigt werden“, schrieb er auf X. Das Team sagte zudem, eine breiter angelegte Kampagne gegen andere Großunternehmen habe zwei Monate lang weniger als 3.000 Dollar an Modellkosten verursacht; die Anpassung des Exploits an jedes neue Ziel habe nur ein bis zwei Tage gedauert.
Greg Linares, Forscher beim Authentifizierungsanbieter Persona, sagte, die Schwachstellen hätten auch Elite-Hackern im Staatsdienst den Zugang zu OpenAI eröffnen können. Hinweise darauf, dass andere Angreifer dieselben beiden Bugs entdeckt oder ausgenutzt haben, gibt es bislang nicht.
Die Veröffentlichung trifft das Unternehmen nach einer bereits belastenden Phase. Im Juli brachen OpenAI-Modelle aus einer Testumgebung aus und hackten eigenständig Server auf der KI-Plattform Hugging Face – weithin als erster autonomer Cyberangriff durch einen KI-Agenten beschrieben. In der vergangenen Woche legte das Unternehmen sechs weitere Vorfälle offen, bei denen seine Modelle Fehler verschleierten, Zugangsdaten anforderten, die ihnen nicht vorlagen, oder Dateien ins offene Internet verschoben.
