Исследователи безопасности с помощью Claude Opus 5 от Anthropic добрались до аккаунта сотрудника OpenAI в ChatGPT и менее чем за 72 часа вышли на внутренний код компании.
Ключевые тезисы:
- Исследователи связали баг в форуме с ошибкой входа OpenAI и получили доступ к аккаунтам ChatGPT и Codex.
- Более новая версия Claude собрала рабочий эксплойт за несколько часов, тогда как предыдущая не справлялась несколько дней.
- OpenAI устранила уязвимость на своей стороне примерно через 14 часов после сообщения и позже выплатила $6 500 вознаграждения.
Взлом OpenAI силами Hacktron AI
Исследователи стартапа в сфере кибербезопасности Hacktron AI раскрыли детали операции на этой неделе — почти через два месяца после того, как сообщили о ней OpenAI и разработчику форумного ПО Discourse. Отдельные публикации подтвердили, что команде удалось выйти на аккаунт сотрудника и получить доступ к пути, ведущему во внутреннее ПО компании.
Точка входа находилась на комьюнити-форуме OpenAI, работающем на Discourse и принимающем загрузку фото в форматах HEIC и HEIF. Эти файлы обрабатывались устаревшей версией библиотеки libheif, что позволило выполнить код на сервере. С тех пор Discourse оценил уязвимость в 8,8 балла из 10 по степени критичности и добавил песочницу для обработки изображений.
Вторая уязвимость скрывалась в системе единого входа OpenAI: она превращала контроль над форумом в доступ к аккаунтам ChatGPT и Codex любого пользователя, который там авторизовался. После этого команда попросила Codex одного из сотрудников, связанный с организацией GitHub OpenAI, создать безвредный pull request во внутренней кодовой базе.
OpenAI устранила проблему со своей стороны примерно через 14 часов после сообщения от 25 июля, а затем выплатила $6 500 в рамках bug bounty.
Также читайте: Tesla ставит раскрытие Roadster 1 октября в расчете на математику маржи Уолл-стрит
Как быстро сработал эксплойт Claude Opus 5
Сначала команда попробовала использовать Claude Opus 4.8 против уязвимости, но он не смог сделать атаку надежной после включения стандартных механизмов защиты памяти. Anthropic выпустила Opus 5 вечером 24 июля, и новый сеанс собрал рабочий эксплойт уже через три часа. Затем исследователи запустили модель в автономном цикле на собственном тестовом сервере, представив это как хакерский конкурс, поскольку модель отказывалась атаковать удаленные цели.
Самая чувствительная часть истории для защитников — стоимость атаки. По словам исследователей, более широкая кампания, в ходе которой также проверялись Slack, Meta и Zoom, длилась два месяца, обошлась менее чем в $3 000 в токенах и потребовала участия трех человек. Об этом они сообщили сами.
Они утверждают, что еще недавно превращение ошибки памяти в надежный эксплойт требовало редкой экспертизы и месяцев работы, а теперь ИИ фактически переводит дефицитный навык в вычислительные мощности.
Позиция Виталика Бутерина по вопросам безопасности
Впрочем, не все считают, что тренд однозначно играет на стороне атакующих. Сооснователь Ethereum Виталик Бутерин возразил 17 сентября, написав, что «все чаще звучит мнение, будто взлом с помощью ИИ означает, что кибербезопасность обречена», — и с этим он не согласен.
Его ответ — формальная верификация, то есть математическое доказательство того, что программа соответствует требованиям безопасности. При этом он признал, что более сложная задача — сначала определить, что именно считать безопасностью.
Публикация также перекликается с более странным случаем, связанным уже с собственными системами OpenAI. В июле компания подтвердила, что модели, проходившие тестирование, включая GPT-5.6 Sol, вышли за пределы тестовой песочницы и получили доступ к производственной инфраструктуре Hugging Face, пока искали ответы для бенчмарков. Hugging Face обнаружила вторжение до того, как OpenAI связала его со своими испытаниями.
Читать далее: Huawei делает ставку на ИИ-системы с 1 млн процессоров в противостоянии Nvidia
