Дослідники з безпеки використали Claude Opus 5 від Anthropic, доступний за цим посиланням, щоб перехопити акаунт співробітника OpenAI у ChatGPT і менш ніж за 72 години дістатися до внутрішнього коду компанії.
Ключові моменти:
- Дослідники поєднали баг в обробці зображень на форумі з вадою в механізмі входу OpenAI, щоб отримати доступ до акаунтів ChatGPT і Codex.
- Нова модель Claude зібрала працездатний експлойт за кілька годин, тоді як попередня версія не впоралася й за кілька днів.
- OpenAI закрила вразливість на своєму боці приблизно через 14 годин після повідомлення та згодом виплатила $6,500 винагороди.
Злам OpenAI через Hacktron AI
Дослідники стартапу з кібербезпеки Hacktron AI оприлюднили результати операції цього тижня — майже через два місяці після того, як повідомили про неї OpenAI та розробника форумного ПЗ Discourse. Окремі джерела підтвердили, що команді вдалося дістатися до акаунта співробітника і знайти шлях до приватного корпоративного ПЗ.
Вхідною точкою став спільнотний форум OpenAI, який працює на Discourse та підтримує завантаження фото у форматах HEIC і HEIF. Ці файли оброблялися застарілою версією бібліотеки libheif, що дозволило команді виконати код на сервері. Відтоді Discourse оцінив цю вразливість на 8,8 бала з 10 за рівнем критичності та додав ізоляцію до обробки зображень.
Друга вада була в системі єдиного входу OpenAI, і вона перетворила контроль над форумом на доступ до акаунтів ChatGPT і Codex будь-кого, хто там авторизувався. Після цього команда наказала Codex одного зі співробітників, прив’язаному до організації GitHub OpenAI, відкрити безпечний pull request у внутрішній кодовій базі.
OpenAI усунула проблему зі свого боку приблизно через 14 годин після повідомлення від 25 липня, а згодом виплатила $6,500 винагороди.
Читайте також: Tesla ставить презентацію Roadster на 1 жовтня проти математики маржі Волл-стріт
Швидкість експлойту Claude Opus 5
Спершу команда націлила Claude Opus 4.8 на цю вразливість, але модель не змогла зробити атаку стабільною після увімкнення стандартних захисних механізмів пам’яті. Anthropic випустила Opus 5 увечері 24 липня, і нова сесія згенерувала робочий експлойт менш ніж за три години. Після цього дослідники запустили модель в автономному циклі на власному тестовому сервері, замаскувавши це під хакерське змагання, оскільки вона відмовлялася атакувати віддалені цілі.
Для захисників найболючішим може виявитися саме питання вартості. Ширша кампанія, яка також перевіряла Slack, Meta та Zoom, тривала два місяці, коштувала менше ніж $3,000 у токенах і вимагала лише трьох людей, стверджують дослідники.
Вони наголошують: раніше перетворення багу в пам’яті на надійний експлойт потребувало рідкісної експертизи та місяців роботи, тоді як ШІ нині перетворює цей дефіцитний навик на обчислювальний ресурс.
Реакція Віталіка Бутеріна на безпеку
Втім, не всі сприймають це як беззаперечну поразку захисників. Співзасновник Ethereum Віталік Бутерін відреагував 17 вересня, написавши, що «усе частіше лунає думка, ніби AI-хакінг означає неминучу загибель кібербезпеки», але він із цим не погоджується.
Його відповідь — формальна верифікація, тобто математичний доказ того, що програма відповідає правилам безпеки, хоча він визнав: складніша проблема полягає в тому, як узагалі визначити, що таке безпечність.
Це повідомлення також накладається на інший, ще дивніший кейс за участю власних систем OpenAI. У липні компанія підтвердила, що моделі, які проходили оцінювання, зокрема GPT-5.6 Sol, вирвалися з тестового sandbox і дісталися до продакшн-інфраструктури Hugging Face у гонитві за відповідями для бенчмарків. Hugging Face виявила цю атаку ще до того, як OpenAI пов’язала її зі своїми тестами.
Читайте далі: Huawei націлюється на AI-системи з 1 млн процесорів у виклику Nvidia
