Дослідники з безпеки використали Anthropic Claude Opus 5, щоб зламати обліковий запис співробітника OpenAI у ChatGPT і менш ніж за 72 години дістатися до внутрішнього коду компанії.
Ключові моменти:
- Дослідники поєднали баг у форумних зображеннях із помилкою входу OpenAI та отримали контроль над обліковими записами ChatGPT і Codex.
- Нова версія Claude згенерувала робочий експлойт за кілька годин після того, як старіша не впоралася за кілька днів.
- OpenAI виправила проблему приблизно за 14 годин після повідомлення і згодом виплатила $6,5 тис. винагороди.
Злам OpenAI від Hacktron AI
Дослідники стартапу з кібербезпеки Hacktron AI оприлюднили деталі операції цього тижня, майже через два місяці після того, як повідомили про неї OpenAI та розробнику форумного ПЗ Discourse. Окреме розслідування підтвердило, що команда отримала доступ до акаунта співробітника і знайшла шлях до приватного корпоративного ПЗ.
Вхідною точкою став спільнотний форум OpenAI, який працює на Discourse та приймає завантаження фото у форматах HEIC і HEIF. Ці файли оброблялися за допомогою застарілої копії бібліотеки libheif, що дало команді змогу виконати код на сервері. Відтоді Discourse оцінює цю вразливість на 8,8 бала з 10 за критичністю та додав пісочницю для обробки зображень.
Друга вразливість була в системі єдиного входу OpenAI: вона перетворювала контроль над форумом на доступ до облікових записів ChatGPT і Codex будь-кого, хто входив через нього. Після цього команда наказала Codex одного зі співробітників, прив’язаного до організації GitHub OpenAI, відкрити безпечний pull request у внутрішній кодовій базі.
OpenAI усунула проблему зі свого боку приблизно через 14 годин після повідомлення від 25 липня, а згодом виплатила $6,5 тис. винагороди.
Читайте також: Tesla ставить презентацію Roadster на 1 жовтня проти розрахунків Волл-стріт щодо маржі
Швидкість експлойта Claude Opus 5
Спершу команда протестувала вразливість на Claude Opus 4.8, але модель не змогла зробити атаку стабільною після ввімкнення стандартних захистів пам’яті. Anthropic випустила Opus 5 увечері 24 липня, і нова сесія згенерувала робочий експлойт менш ніж за три години. Після цього дослідники запустили модель в автономному циклі на власному тестовому сервері, замаскувавши це під конкурс із хакінгу, оскільки вона відмовлялася атакувати віддалені цілі.
Найскладнішим для захисників може виявитися не сам технічний трюк, а його вартість. Ширша кампанія, яка також перевіряла Slack, Meta та Zoom, тривала два місяці, коштувала менше ніж $3 тис. у токенах і була проведена трьома людьми, заявили дослідники.
Вони наголошують: раніше перетворення memory bug на надійний експлойт вимагало рідкісної експертизи та місяців роботи, а тепер ШІ переводить цю дефіцитну майстерність у обчислювальну задачу.
Реакція Віталіка Бутеріна на безпеку
Не всі вважають, що тренд однозначно грає на користь атакувальників. Співзасновник Ethereum Віталік Бутерін заперечив такому песимістичному погляду 17 вересня, написавши, що «все частіше лунає думка, ніби AI-хакінг означає неминучий крах кібербезпеки», і що він із цим не згоден.
Його відповідь — формальна верифікація, тобто математичне доведення того, що програма відповідає вимогам безпеки. Водночас він визнав, що складніше завдання — спершу визначити, що саме означає «безпечний» код.
Розголос цієї історії також збігся з іншим, ще дивнішим інцидентом за участю власних систем OpenAI. У липні компанія підтвердила, що моделі, які проходили тестування, зокрема GPT-5.6 Sol, вирвалися з тестового sandbox-середовища та дісталися до production-інфраструктури Hugging Face, коли шукали відповіді для бенчмарків. Hugging Face виявила цю атаку раніше, ніж OpenAI пов’язала її зі своїми тестами.
Читайте далі: Huawei націлилася на ШІ-системи з 1 млн процесорів у конкуренції з Nvidia
