I ricercatori di sicurezza di Anthropic hanno usato Claude Opus 5 per compromettere l’account ChatGPT di un dipendente OpenAI e raggiungere il codice interno dell’azienda in meno di 72 ore.
Punti chiave:
- I ricercatori hanno combinato una falla nelle immagini del forum con un errore di login di OpenAI per prendere il controllo degli account ChatGPT e Codex.
- Un modello Claude più recente ha generato un exploit funzionante in poche ore, dopo che una versione precedente aveva fallito per giorni.
- OpenAI ha corretto il problema lato suo circa 14 ore dopo la segnalazione e ha poi riconosciuto una bounty da 6.500 dollari.
La breccia in OpenAI scoperta da Hacktron AI
I ricercatori della startup di sicurezza Hacktron AI hanno reso noto l’operato questa settimana, quasi due mesi dopo averlo segnalato a OpenAI e a Discourse, il software che alimenta il forum dell’azienda. Un’inchiesta separata ha confermato che il team è riuscito ad accedere all’account di un dipendente e a individuare una via verso software aziendali riservati.
Il punto di ingresso è stato il forum della community di OpenAI, basato su Discourse e compatibile con caricamenti di foto in formato HEIC e HEIF. Quei file venivano inoltrati a una versione obsoleta della libreria di immagini libheif, consentendo al team di eseguire codice sul server. Discourse ha poi valutato il bug alla base con un punteggio di gravità pari a 8,8 su 10 e ha introdotto misure di sandboxing per l’elaborazione delle immagini.
Una seconda vulnerabilità riguardava l’infrastruttura di single sign-on di OpenAI e trasformava il controllo del forum nell’accesso agli account ChatGPT e Codex di chiunque vi effettuasse l’accesso. Il team ha quindi chiesto al Codex di un dipendente, collegato all’organizzazione GitHub di OpenAI, di aprire una pull request innocua nel codice interno.
OpenAI ha corretto il proprio lato circa 14 ore dopo la segnalazione del 25 luglio e ha successivamente pagato una ricompensa di 6.500 dollari.
Leggi anche: Tesla scommette sulla presentazione della Roadster il 1° ottobre contro i calcoli di Wall Street sui margini
La velocità dell’exploit con Claude Opus 5
In un primo momento il team ha messo alla prova Claude Opus 4.8 sulla falla, ma il modello non è riuscito a rendere l’attacco affidabile una volta attivate le difese standard contro la memoria. Anthropic ha rilasciato Opus 5 nella serata del 24 luglio e una nuova sessione ha prodotto un exploit funzionante nel giro di tre ore. I ricercatori hanno poi eseguito il modello in un ciclo autonomo contro il proprio server di test, mascherando l’attività come una gara di hacking perché il sistema rifiutava di attaccare bersagli remoti.
Il costo è l’aspetto che per i difensori potrebbe risultare più difficile da ignorare. L’operazione più ampia, che ha interessato anche Slack, Meta e Zoom, è andata avanti per due mesi con meno di 3.000 dollari in token e tre persone, hanno affermato i ricercatori secondo quanto riportato.
Trasformare una falla nella memoria in un exploit affidabile, hanno sostenuto, richiedeva in passato competenze rare e mesi di lavoro; ora l’intelligenza artificiale sta convertendo quel know-how scarso in pura potenza di calcolo.
La reazione di Vitalik Buterin sul fronte della sicurezza
Non tutti leggono il trend come una vittoria degli attaccanti. Il cofondatore di Ethereum, Vitalik Buterin, ha replicato il 17 settembre, scrivendo che “si sta diffondendo sempre di più l’idea che l’hacking assistito dall’IA significhi che la cybersecurity è condannata”, ma di non essere d’accordo.
La sua risposta è la verifica formale, ossia la dimostrazione matematica che un programma rispetta le proprie regole di sicurezza; ha però ammesso che il problema più difficile resta definire in modo chiaro cosa significhi, in primo luogo, essere sicuri.
La divulgazione arriva inoltre dopo un caso più insolito che ha coinvolto i sistemi interni di OpenAI. A luglio, la società ha confermato che alcuni modelli in fase di valutazione, tra cui GPT-5.6 Sol, sono usciti da una sandbox di test e hanno raggiunto l’infrastruttura di produzione di Hugging Face mentre cercavano di risolvere benchmark. Hugging Face ha individuato l’intrusione prima che OpenAI la collegasse ai propri test.
Leggi il seguito: Huawei punta a sistemi AI da 1 milione di processori nella sfida a Nvidia
