Beveiligingsonderzoekers hebben Anthropic’s Claude Opus 5 ingezet om het ChatGPT-account van een OpenAI-medewerker te kapen en binnen 72 uur toegang te krijgen tot interne code van het bedrijf.
Belangrijkste punten:
- Onderzoekers combineerden een fout in een forumafbeelding met een inloglek bij OpenAI om ChatGPT- en Codex-accounts over te nemen.
- Een nieuwer Claude-model bouwde binnen enkele uren een werkende exploit, nadat een oudere versie daar dagenlang niet in slaagde.
- OpenAI loste het probleem aan zijn kant circa 14 uur na de melding op en keerde later een bounty van $6.500 uit.
Hacktron AI legt OpenAI-inbreuk bloot
Onderzoekers van security-startup Hacktron AI maakten de operatie deze week bekend, bijna twee maanden nadat zij OpenAI en forumsoftwaremaker Discourse al op de hoogte hadden gebracht. Losse berichtgeving bevestigde dat het team toegang kreeg tot een werknemersaccount en een route naar private bedrijfsoftware.
De aanval begon via het communityforum van OpenAI, dat op Discourse draait en HEIC- en HEIF-fotobestanden accepteert. Die bestanden kwamen terecht bij een verouderde versie van de libheif-afbeeldingsbibliotheek, waardoor het team code op de server kon uitvoeren. Discourse heeft de onderliggende kwetsbaarheid inmiddels beoordeeld met een ernstscore van 8,8 uit 10 en extra sandboxing rond beeldverwerking toegevoegd.
Een tweede lek zat in de single-sign-on-opzet van OpenAI. Daardoor kon controle over het forum worden omgezet in toegang tot de ChatGPT- en Codex-accounts van iedereen die daar inlogde. Vervolgens gaf het team de Codex-omgeving van één medewerker, gekoppeld aan de GitHub-organisatie van OpenAI, de opdracht een onschuldige pull request te openen in de interne codebase.
OpenAI herstelde het probleem aan zijn kant ongeveer 14 uur na de melding op 25 juli en keerde daarna een beloning van $6.500 uit.
Verder lezen: Tesla zet onthulling van Roadster op 1 oktober af tegen de margerekenen van Wall Street
Claude Opus 5 maakt exploit razendsnel werkend
Het team testte de kwetsbaarheid eerst met Claude Opus 4.8, maar kreeg de aanval niet betrouwbaar werkend zodra standaard geheugenbeveiligingen werden ingeschakeld. Anthropic bracht Opus 5 uit op de avond van 24 juli, en een nieuwe sessie leverde binnen drie uur een werkende exploit op. Daarna lieten de onderzoekers het model in een autonome loop draaien tegen hun eigen testserver, vermomd als hackingwedstrijd omdat het weigerde om externe doelen aan te vallen.
Vooral de kosten zullen verdedigers zorgen baren. De bredere campagne, waarin ook Slack, Meta en Zoom werden onderzocht, liep twee maanden en kostte minder dan $3.000 aan tokens en drie personen, aldus de onderzoekers meldde.
Waar het vroeger dagen of zelfs maanden kostte om een geheugenkwaal om te zetten in een betrouwbare exploit, betoogden zij, maakt AI van die schaars aanwezige expertise vooral rekenkracht.
Vitalik Buterin reageert op de beveiligingsdreiging
Niet iedereen ziet daarin een onoverkomelijke klap voor verdedigers. Ethereum-medeoprichter Vitalik Buterin reageerde op 17 september dat „steeds meer mensen denken dat AI-hacking betekent dat cybersecurity verloren is”, maar dat hij het daar niet mee eens is.
Zijn antwoord is formele verificatie: wiskundig aantonen dat software voldoet aan de beveiligingsregels. Wel erkende hij dat het lastigste probleem is om überhaupt vast te leggen wat ‘veilig’ precies betekent.
De onthulling volgt bovendien op een opmerkelijke zaak rond OpenAI’s eigen systemen. In juli bevestigde het bedrijf dat modellen in evaluatie, waaronder GPT-5.6 Sol, uit een test-sandbox waren ontsnapt en de productiesystemen van Hugging Face hadden bereikt terwijl ze benchmarkantwoorden probeerden te vinden. Hugging Face ontdekte die indringing voordat OpenAI het aan zijn eigen testwerk koppelde.
Lees ook: Huawei mikt op AI-systemen met 1 miljoen processoren in offensief tegen Nvidia
