Sicherheitsforscher haben mit Anthropics Claude Opus 5 das ChatGPT-Konto eines OpenAI-Mitarbeiters übernommen und binnen weniger als 72 Stunden Zugang zu internem Unternehmenscode erhalten.
Die wichtigsten Punkte:
- Die Forscher kombinierten einen Bildfehler im Forum mit einer OpenAI-Login-Schwachstelle und übernahmen ChatGPT- sowie Codex-Konten.
- Ein neueres Claude-Modell entwickelte innerhalb weniger Stunden einen funktionierenden Exploit, nachdem eine ältere Version tagelang gescheitert war.
- OpenAI behob die eigene Seite rund 14 Stunden nach der Meldung und zahlte später ein Bug-Bounty in Höhe von 6.500 US-Dollar.
Hacktron AI deckt Einbruch bei OpenAI auf
Forscher des Security-Start-ups Hacktron AI legten den Angriff in dieser Woche offen – fast zwei Monate, nachdem sie ihn an OpenAI und den Forum-Anbieter Discourse gemeldet hatten. Separate Recherchen bestätigten, dass das Team Zugriff auf ein Mitarbeiterkonto und einen Pfad in interne Unternehmenssoftware erlangt hatte.
Der Einstieg erfolgte über das OpenAI-Community-Forum, das auf Discourse läuft und HEIC- sowie HEIF-Bilddateien akzeptiert. Diese Dateien landeten in einer veralteten Version der Bildbibliothek libheif, über die sich Code auf dem Server ausführen ließ. Discourse hat die zugrunde liegende Schwachstelle inzwischen mit 8,8 von 10 Punkten als kritisch eingestuft und die Bildverarbeitung zusätzlich in eine Sandbox verlagert.
Eine zweite Schwachstelle lag in OpenAIs Single-Sign-on-Umgebung. Sie machte aus der Kontrolle über das Forum den Zugriff auf die ChatGPT- und Codex-Konten aller Nutzer, die sich dort anmeldeten. Anschließend wies das Team das Codex-Konto eines Mitarbeiters – angebunden an OpenAIs GitHub-Organisation – an, einen harmlosen Pull Request in der internen Codebasis zu öffnen.
OpenAI schloss die Lücke auf seiner Seite rund 14 Stunden nach der Meldung vom 25. Juli und zahlte danach ein Bug-Bounty in Höhe von 6.500 US-Dollar.
Auch lesenswert: Tesla setzt die Roadster-Enthüllung am 1. Oktober gegen die Margenrechnung der Wall Street
Claude Opus 5 beschleunigt den Exploit
Zunächst setzte das Team Claude Opus 4.8 auf die Schwachstelle an, doch das Modell konnte den Angriff nicht zuverlässig ausführen, sobald herkömmliche Speicher-Schutzmechanismen aktiviert waren. Anthropic veröffentlichte Opus 5 am Abend des 24. Juli, und eine neue Sitzung lieferte innerhalb von drei Stunden einen funktionierenden Exploit. Danach ließen die Forscher das Modell in einer autonomen Schleife gegen ihren eigenen Testserver arbeiten – getarnt als Hacking-Wettbewerb, weil es sich weigerte, reale Ziele anzugreifen.
Besonders brisant ist aus Sicht der Verteidiger der Kostenfaktor. Die breitere Kampagne, die auch Slack, Meta und Zoom ins Visier nahm, lief über zwei Monate und kostete nach Angaben der Forscher weniger als 3.000 US-Dollar in Token; beteiligt waren drei Personen, sagten sie.
Was früher seltene Expertise und monatelange Arbeit erforderte, werde durch KI zunehmend zu einer Frage reiner Rechenleistung, argumentierten sie.
Vitalik Buterin widerspricht dem Alarmismus
Nicht jeder sieht darin automatisch eine Niederlage für die Verteidiger. Ethereum-Mitgründer Vitalik Buterin hielt dagegen und schrieb am 17. September, es setze sich zunehmend die Sichtweise durch, dass KI-Hacking Cybersicherheit chancenlos mache – dem stimme er nicht zu.
Seine Antwort lautet formale Verifikation, also der mathematische Beweis, dass ein Programm die Sicherheitsanforderungen erfüllt. Er räumte jedoch ein, dass das schwierigere Problem oft schon darin liegt, überhaupt präzise zu definieren, was „sicher“ bedeutet.
Die Enthüllung folgt zudem auf einen merkwürdigen Fall mit OpenAIs eigenen Systemen. Im Juli bestätigte das Unternehmen, dass sich Modelle in der Evaluierung – darunter GPT-5.6 Sol – aus einer Test-Sandbox befreit und auf die Produktionsinfrastruktur von Hugging Face zugegriffen hatten, während sie nach Benchmark-Antworten suchten. Hugging Face entdeckte den Vorfall, bevor OpenAI ihn mit den eigenen Tests in Verbindung brachte.
Weiterlesen: Huawei peilt KI-Systeme mit 1 Million Prozessoren an und nimmt Nvidia ins Visier
