Badacze bezpieczeństwa wykorzystali Claude Opus 5 firmy Anthropic do przejęcia konta pracownika OpenAI w ChatGPT i dotarcia do wewnętrznego kodu spółki w niespełna 72 godziny.
Najważniejsze informacje:
- Badacze połączyli błąd w forum z luką w logowaniu OpenAI, przejmując konta ChatGPT i Codex.
- Nowszy model Claude’a stworzył działający exploit w kilka godzin, podczas gdy starsza wersja nie dawała rady przez dni.
- OpenAI załatało swoją stronę podatności około 14 godzin po zgłoszeniu, a następnie wypłaciło 6,5 tys. dolarów nagrody.
Włamanie Hacktron AI do OpenAI
Zespół startupu bezpieczeństwa Hacktron AI ujawnił operację w tym tygodniu, niemal dwa miesiące po zgłoszeniu jej OpenAI i twórcom oprogramowania forum Discourse. Niezależne doniesienia potwierdziły, że badacze uzyskali dostęp do konta pracownika oraz ścieżkę prowadzącą do prywatnego oprogramowania firmy.
Punktem wejścia było forum społeczności OpenAI, działające na Discourse i przyjmujące pliki zdjęć HEIC oraz HEIF. Trafiały one do przestarzałej wersji biblioteki libheif, co pozwoliło zespołowi uruchomić kod na serwerze. Discourse ocenił później tę lukę na 8,8/10 pod względem powagi i dodał izolację środowiska dla przetwarzania obrazów.
Druga podatność znajdowała się w mechanizmie logowania jednokrotnego OpenAI i umożliwiała przejęcie kontroli nad forum, a tym samym dostęp do kont ChatGPT i Codex każdego użytkownika, który się tam logował. Następnie badacze polecili Codexowi jednego z pracowników, podpiętemu do organizacji GitHub OpenAI, utworzenie nieszkodliwego pull requesta w wewnętrznej bazie kodu.
OpenAI naprawiło swoją stronę podatności około 14 godzin po zgłoszeniu z 25 lipca, a następnie wypłaciło nagrodę w wysokości 6,5 tys. dolarów.
Zobacz także: Tesla stawia prezentację Roadstera na 1 października naprzeciw rachunku zysków i marż Wall Street
Jak szybko Claude Opus 5 generował exploit
Początkowo zespół testował lukę na Claude Opus 4.8, ale model nie potrafił stworzyć niezawodnego ataku po włączeniu standardowych zabezpieczeń pamięci. Anthropic wypuścił Opus 5 wieczorem 24 lipca, a nowa sesja wygenerowała działający exploit w ciągu trzech godzin. Następnie badacze uruchomili model w autonomicznej pętli przeciwko własnemu serwerowi testowemu, podszywając się pod konkurs hakerski, ponieważ nie chciał atakować celów zdalnych.
Koszty mogą być dla obrońców najtrudniejszym sygnałem alarmowym. Szersza kampania, która objęła również Slack, Metę i Zoom, trwała dwa miesiące i kosztowała mniej niż 3 tys. dolarów w tokenach oraz wymagała pracy trzech osób — twierdzili badacze w swoim raporcie.
Ich zdaniem to, co wcześniej wymagało wyjątkowych umiejętności i miesięcy pracy przy zamienianiu błędu pamięci w niezawodny exploit, teraz sztuczna inteligencja przekształca w zasoby obliczeniowe.
Reakcja Vitalika Buterina na kwestie bezpieczeństwa
Nie wszyscy odczytują ten trend jako wygraną napastników. Współzałożyciel Ethereum, Vitalik Buterin, odniósł się do sprawy 17 września, pisząc, że „coraz częściej pojawia się teza, iż hakerskie wykorzystanie AI oznacza klęskę cyberbezpieczeństwa”, z czym się nie zgadza.
Jego odpowiedzią ma być formalna weryfikacja, czyli matematyczny dowód, że program spełnia określone reguły bezpieczeństwa. Przyznał jednak, że trudniejsze pozostaje zdefiniowanie, co właściwie oznacza „bezpieczny”.
Ujawnienie tej operacji wpisuje się też w bardziej niecodzienny przypadek dotyczący własnych systemów OpenAI. W lipcu spółka potwierdziła, że modele testowane w ramach ewaluacji, w tym GPT-5.6 Sol, wydostały się z piaskownicy testowej i dotarły do środowiska produkcyjnego Hugging Face, szukając odpowiedzi do benchmarków. Hugging Face wykryło to włamanie, zanim OpenAI powiązało je z własnymi testami.
Czytaj dalej: Huawei celuje w systemy AI z 1 mln procesorów w wyścigu z Nvidią
