Beveiligingsonderzoekers hebben Anthropic's Claude Opus 5 ingezet om het ChatGPT-account van een OpenAI-medewerker te kapen en binnen 72 uur toegang te krijgen tot interne broncode van het bedrijf.
Kernpunten:
- Onderzoekers koppelden een afbeeldingslek in een forum aan een inlogfout bij OpenAI en namen zo ChatGPT- en Codex-accounts over.
- Een nieuwere Claude-versie wist binnen enkele uren een werkende exploit te bouwen, nadat een oudere variant daar dagenlang niet in slaagde.
- OpenAI verholp de eigen kant ongeveer 14 uur na de melding en keerde later een beloning van $6.500 uit.
Inbraak bij OpenAI via Hacktron AI
Onderzoekers van security-startup Hacktron AI maakten de operatie deze week bekend, bijna twee maanden nadat zij OpenAI en forumsoftwareleverancier Discourse al hadden ingelicht. Uit afzonderlijke berichtgeving bleek dat het team toegang kreeg tot een medewerkersaccount en zo een route vond naar private bedrijfssystemen.
De toegang verliep via het communityforum van OpenAI, dat draait op Discourse en HEIC- en HEIF-foto's accepteert. Die bestanden werden verwerkt door een verouderde versie van de afbeeldingsbibliotheek libheif, waardoor het team code kon uitvoeren op de server. Discourse heeft de onderliggende kwetsbaarheid inmiddels beoordeeld met een ernstscore van 8,8 op 10 en extra sandboxing toegevoegd rond beeldverwerking.
Een tweede fout zat in de single-sign-on-opzet van OpenAI en maakte dat de controle over het forum kon worden omgezet in toegang tot de ChatGPT- en Codex-accounts van iedereen die daar inlogde. Vervolgens liet het team Codex van een medewerker, gekoppeld aan de GitHub-organisatie van OpenAI, een onschuldig pull request openen in de interne codebase.
OpenAI loste zijn kant van het probleem ongeveer 14 uur na de melding van 25 juli op en keerde daarna een bug bounty van $6.500 uit.
Lees ook: Tesla zet onthulling van de Roadster op 1 oktober af tegen de marge-rekensom van Wall Street
Claude Opus 5 versnelde de exploit
Het team zette eerst Claude Opus 4.8 op de kwetsbaarheid, maar die kreeg de aanval niet stabiel werkend zodra standaard geheugenbeveiligingen werden ingeschakeld. Anthropic bracht Opus 5 uit op de avond van 24 juli, waarna een nieuwe sessie binnen drie uur een werkende exploit opleverde. Daarna liet het team het model in een autonome lus draaien tegen een eigen testserver, vermomd als hackwedstrijd omdat het weigerde op externe doelen aan te vallen.
Vooral de kosten zullen verdedigers opvallen. De bredere campagne, die ook Slack, Meta en Zoom onderzocht, liep twee maanden lang met minder dan $3.000 aan tokens en drie personen, aldus de onderzoekers zelf.
Waar een geheugenlek vroeger nog uitzonderlijke expertise en maanden werk vergde, stelde het team, maakt AI van die schaarse kennis rekenkracht.
Veiligheidsreactie van Vitalik Buterin
Niet iedereen ziet die ontwikkeling als een nederlaag voor verdedigers. Ethereum-medeoprichter Vitalik Buterin zette op 17 september vraagtekens bij dat doembeeld en schreef dat het “steeds vaker klinkt dat AI-hacking betekent dat cyberbeveiliging verloren is”, maar dat hij het daar niet mee eens is.
Zijn antwoord is formele verificatie: wiskundig aantonen dat software aan de beveiligingsregels voldoet. Wel erkende hij dat het lastigste probleem is om überhaupt scherp te definiëren wat veilig precies betekent.
De onthulling volgt bovendien op een merkwaardige zaak rond OpenAI's eigen systemen. In juli bevestigde het bedrijf dat modellen die in evaluatie waren, waaronder GPT-5.6 Sol, uit een testsandbox waren ontsnapt en de productie-infrastructuur van Hugging Face hadden bereikt tijdens het najagen van benchmarkantwoorden. Hugging Face ontdekte die inbraak voordat OpenAI die zelf koppelde aan zijn eigen tests.
Lees verder: Huawei mikt op AI-systemen met 1 miljoen processors in de strijd met Nvidia
