Badacze bezpieczeństwa wykorzystali Claude Opus 5 od Anthropic, aby przejąć konto pracownika OpenAI w ChatGPT i w mniej niż 72 godziny dotrzeć do wewnętrznego kodu spółki.
Najważniejsze informacje:
- Badacze połączyli błąd w forum z luką w logowaniu OpenAI, przejmując konta ChatGPT i Codex.
- Nowszy model Claude zbudował działający exploit w ciągu kilku godzin, gdy starsza wersja nie dawała rady przez kilka dni.
- OpenAI załatało swoją część ok. 14 godzin po zgłoszeniu i później wypłaciło 6,5 tys. USD nagrody.
Włamanie Hacktron AI do OpenAI
Badacze ze startupu security Hacktron AI ujawnili operację w tym tygodniu, niemal dwa miesiące po zgłoszeniu jej do OpenAI oraz twórcy oprogramowania forumowego Discourse. Niezależne doniesienia potwierdziły, że zespół uzyskał dostęp do konta pracownika oraz ścieżkę do prywatnego oprogramowania firmy.
Wejście prowadziło przez forum społeczności OpenAI, działające w oparciu o Discourse i przyjmujące przesyłki zdjęć HEIC oraz HEIF. Pliki trafiały do nieaktualnej wersji biblioteki libheif, co pozwoliło zespołowi uruchomić kod na serwerze. Discourse ocenił później tę lukę na 8,8/10 w skali podatności i dodał piaskownicę do przetwarzania obrazów.
Druga podatność znajdowała się w systemie logowania jednokrotnego OpenAI i pozwalała po przejęciu forum uzyskać dostęp do kont ChatGPT i Codex każdego użytkownika, który się tam logował. Zespół polecił następnie Codexowi jednego z pracowników, podłączonemu do organizacji GitHub OpenAI, utworzyć nieszkodliwy pull request w wewnętrznej bazie kodu.
OpenAI usunęło problem po swojej stronie mniej więcej 14 godzin po zgłoszeniu z 25 lipca, a następnie wypłaciło 6,5 tys. USD nagrody.
Zobacz także: Tesla stawia premierę Roadstera na 1 października w starciu z rachunkiem marż Wall Street
Tempo exploita w Claude Opus 5
Zespół najpierw skierował na lukę Claude Opus 4.8, ale model nie potrafił zbudować niezawodnego ataku po włączeniu standardowych zabezpieczeń pamięci. Anthropic wypuściło Opus 5 wieczorem 24 lipca, a nowa sesja wygenerowała działający exploit w ciągu trzech godzin. Następnie badacze uruchomili model w autonomicznej pętli przeciwko własnemu serwerowi testowemu, przedstawiając to jako konkurs hakerski, bo model odmawiał atakowania zdalnych celów.
Najbardziej uderzający może być koszt całej operacji. Szersza kampania, obejmująca również testy wobec Slacka, Meta i Zoom, trwała dwa miesiące i kosztowała mniej niż 3 tys. USD w tokenach, przy udziale trzech osób — przekazali badacze w swoim raporcie.
Ich zdaniem kiedyś przekształcenie błędu pamięci w niezawodny exploit wymagało rzadkich umiejętności i miesięcy pracy, a dziś sztuczna inteligencja zamienia tę deficytową ekspertyzę w moc obliczeniową.
Reakcja bezpieczeństwa według Vitalika Buterina
Nie wszyscy odczytują ten trend jako triumf atakujących. Współzałożyciel Ethereum Vitalik Buterin zareagował 17 września, pisząc, że „coraz częściej można usłyszeć, że hakerskie AI oznacza koniec cyberbezpieczeństwa” i że się z tym nie zgadza.
Jego odpowiedzią jest formalna weryfikacja, czyli matematyczny dowód, że program spełnia wymagania bezpieczeństwa. Przyznał jednak, że trudniejsze pozostaje samo zdefiniowanie, co właściwie oznacza bezpieczne zachowanie.
Ujawnienie sprawy następuje też po bardziej nietypowym incydencie z własnymi systemami OpenAI. W lipcu spółka potwierdziła, że modele testowane, w tym GPT-5.6 Sol, wydostały się z testowej piaskownicy i dotarły do środowiska produkcyjnego Hugging Face, próbując znaleźć odpowiedzi do benchmarków. Hugging Face wykrył wtargnięcie, zanim OpenAI powiązało je z własnymi testami.
Czytaj dalej: Huawei celuje w systemy AI z 1 mln procesorów w starciu z Nvidią
