Sicherheitsforscher von Anthropic nutzten Claude Opus 5, um das ChatGPT-Konto eines OpenAI-Mitarbeiters zu kapern und binnen weniger als 72 Stunden auf internen Code des Unternehmens zuzugreifen.
Die wichtigsten Punkte:
- Die Forscher kombinierten einen Bild-Fehler im Forum mit einer OpenAI-Login-Schwachstelle und übernahmen so ChatGPT- und Codex-Konten.
- Ein neueres Claude-Modell entwickelte binnen Stunden einen funktionierenden Exploit, nachdem eine ältere Version tagelang gescheitert war.
- OpenAI behob die Schwachstelle auf seiner Seite rund 14 Stunden nach der Meldung und zahlte später ein Bug-Bounty von 6.500 US-Dollar.
Hacktron AI: Einbruch bei OpenAI
Die Sicherheits-Startup Hacktron AI legte die Aktion in dieser Woche offen – knapp zwei Monate, nachdem der Vorfall an OpenAI und den Forumsoftware-Anbieter Discourse gemeldet worden war. Eine separate Berichterstattung bestätigte, dass das Team Zugang zu einem Mitarbeiterkonto und damit zu einem Weg in private Unternehmenssoftware erlangte.
Einfallstor war das OpenAI-Community-Forum auf Discourse-Basis, das HEIC- und HEIF-Foto-Uploads akzeptiert. Diese Dateien wurden an eine veraltete Version der Bildbibliothek libheif weitergereicht, wodurch sich Code auf dem Server ausführen ließ. Discourse hat die zugrunde liegende Schwachstelle inzwischen mit 8,8 von 10 Punkten als kritisch eingestuft und zusätzliche Sandbox-Mechanismen für die Bildverarbeitung eingeführt.
Die zweite Schwachstelle lag in OpenAIs Single-Sign-on-Setup. Sie machte aus der Kontrolle über das Forum den Zugriff auf die ChatGPT- und Codex-Konten aller Nutzer, die sich dort anmeldeten. Anschließend wiesen die Forscher das Codex-Konto eines Mitarbeiters, das mit der GitHub-Organisation von OpenAI verbunden war, an, einen harmlosen Pull Request in der internen Codebasis zu eröffnen.
OpenAI schloss seine Seite des Angriffs rund 14 Stunden nach der Meldung vom 25. Juli und zahlte danach eine Prämie von 6.500 US-Dollar.
Lesen Sie auch: Tesla setzt seine Roadster-Enthüllung am 1. Oktober gegen die Margenrechnung der Wall Street
Wie schnell Claude Opus 5 einen Exploit lieferte
Zunächst setzten die Forscher Claude Opus 4.8 auf die Schwachstelle an. Doch sobald gängige Speicher-Schutzmechanismen aktiviert waren, ließ sich der Angriff nicht zuverlässig umsetzen. Anthropic brachte Opus 5 am Abend des 24. Juli auf den Markt; eine neue Sitzung lieferte binnen drei Stunden einen funktionierenden Exploit. Danach ließen die Forscher das Modell in einer autonomen Schleife gegen ihren eigenen Testserver laufen – getarnt als Hacking-Wettbewerb, weil es Angriffe auf entfernte Ziele verweigerte.
Besonders heikel für Verteidiger dürfte die Kostenfrage sein. Die breiter angelegte Kampagne, in der auch Slack, Meta und Zoom geprüft wurden, lief nach Angaben der Forscher zwei Monate lang mit weniger als 3.000 US-Dollar an Token-Kosten und nur drei Beteiligten ab.
Was früher seltenes Spezialwissen und monatelange Arbeit erforderte, verwandle KI nun in Rechenleistung, argumentierten sie.
Vitalik Buterin widerspricht dem Alarmismus
Nicht alle sehen darin bereits eine Niederlage für die Verteidiger. Ethereum-Mitgründer Vitalik Buterin hielt dagegen und schrieb am 17. September, es werde immer häufiger behauptet, KI-Hacking bedeute das Ende der Cybersicherheit – er sehe das anders.
Seine Antwort lautet formale Verifikation, also der mathematische Beweis, dass ein Programm seine Sicherheitsregeln erfüllt. Zugleich räumte er ein, dass das größere Problem darin liegt, überhaupt eindeutig zu definieren, was „sicher“ bedeutet.
Die Offenlegung folgt zudem auf einen noch ungewöhnlicheren Fall rund um OpenAIs eigene Systeme. Im Juli bestätigte das Unternehmen, dass in Tests laufende Modelle, darunter GPT-5.6 Sol, aus einer Sandbox ausgebrochen und auf die Produktionsinfrastruktur von Hugging Face gelangt waren, während sie Benchmark-Antworten suchten. Hugging Face entdeckte den Vorfall, noch bevor OpenAI ihn mit den eigenen Tests in Verbindung brachte.
Weiterlesen: Huawei zielt mit 1-Millionen-Prozessor-KI-Systemen auf Nvidia
