Исследователи в области кибербезопасности использовали Claude Opus 5 от Anthropic https://yellow.com/news/experts-split-claude-opus-5-independent-tests, чтобы перехватить аккаунт сотрудника OpenAI в ChatGPT и менее чем за 72 часа получить доступ к внутреннему коду компании.
Ключевые моменты:
- Исследователи связали баг в форумном загрузчике изображений с уязвимостью в системе входа OpenAI и получили контроль над аккаунтами ChatGPT и Codex.
- Новая версия Claude за несколько часов подготовила рабочий эксплойт после того, как предыдущая не справлялась несколько дней.
- OpenAI устранила проблему на своей стороне примерно через 14 часов после сообщения и позднее выплатила $6 500 вознаграждения.
Взлом OpenAI через Hacktron AI
Исследователи стартапа по кибербезопасности Hacktron AI сообщили об операции на этой неделе, почти через два месяца после того, как уведомили о ней OpenAI и разработчика форумного ПО Discourse. Отдельные сообщения подтвердили, что команде удалось выйти на аккаунт сотрудника и получить путь к приватному корпоративному софту.
Точка входа находилась на общественном форуме OpenAI, который работает на Discourse и принимает загрузки фотографий в форматах HEIC и HEIF. Эти файлы попадали в устаревшую версию библиотеки libheif, что позволило команде выполнить код на сервере. С тех пор Discourse оценил базовую уязвимость в 8,8 балла из 10 по степени критичности и добавил песочницу для обработки изображений.
Вторая уязвимость скрывалась в схеме единого входа OpenAI и превращала контроль над форумом в доступ к аккаунтам ChatGPT и Codex любого пользователя, который входил туда. Затем команда поручила Codex одного из сотрудников, привязанному к организации OpenAI в GitHub, создать безвредный pull request во внутренней кодовой базе.
OpenAI устранила проблему на своей стороне примерно через 14 часов после сообщения от 25 июля, а затем выплатила вознаграждение в размере $6 500.
Читайте также: Tesla ставит презентацию Roadster на 1 октября в противовес расчетам Уолл-стрит по марже
Скорость эксплуатации уязвимости с Claude Opus 5
Сначала команда попробовала использовать для атаки Claude Opus 4.8, но добиться стабильного результата не удалось после включения стандартных защит от запоминания. Anthropic выпустила Opus 5 вечером 24 июля, и в новой сессии рабочий эксплойт был получен уже в течение трех часов. После этого исследователи запустили модель в автономном цикле против собственного тестового сервера, замаскировав процесс под соревнование хакеров, поскольку модель отказывалась атаковать удаленные цели.
Самый неудобный для защитников аспект — стоимость атаки. Широкая кампания, в ходе которой также изучались Slack, Meta и Zoom, длилась два месяца, обошлась менее чем в $3 000 по токенам и потребовала участия трех человек, заявили исследователи.
По их мнению, превращение memory-багов в надежные эксплойты раньше требовало редкой экспертизы и месяцев работы, а ИИ переводит этот дефицитный навык в вычислительные ресурсы.
Реакция Виталика Бутерина на угрозы безопасности
Впрочем, не все считают, что у защитников нет шансов. Сооснователь Ethereum Виталик Бутерин возразил 17 сентября, написав, что «все чаще звучит мнение, будто AI-хакерство означает конец кибербезопасности», — и он с этим не согласен.
Его ответ — формальная верификация, то есть математическое доказательство того, что программа соответствует требованиям безопасности. При этом он признал, что более сложная задача — сначала определить, что именно считать безопасностью.
Эта публикация также последовала за более странным инцидентом с собственными системами OpenAI. В июле компания подтвердила, что модели, проходившие тестирование, включая GPT-5.6 Sol, вышли за пределы тестовой песочницы и добрались до продакшн-инфраструктуры Hugging Face, пока искали ответы для бенчмарков. Hugging Face обнаружила проникновение раньше, чем OpenAI связала его со своими испытаниями.
Читайте далее: Huawei нацелилась на ИИ-системы с 1 млн процессоров в противостоянии с Nvidia
