Дослідники безпеки, які за допомогою Claude від Anthropic проникли в систему OpenAI менш ніж за 72 години, тепер попереджають: індустрія ШІ не готова до загроз, які породжує власна технологія.
Ключові моменти:
- Команда з трьох осіб об’єднала дві вразливості, щоб захопити акаунти співробітників OpenAI в липні.
- OpenAI виправила свою частину проблеми приблизно за 14 годин і виплатила $6,500 винагороди.
- Дослідники кажуть, що інструменти ШІ радикально скоротили час і навички, потрібні для перетворення багів на зброю.
Злам OpenAI від Hacktron
Робота почалася 25 липня, коли дослідники стартапу з кібербезпеки Hacktron отримали віддалене виконання коду на публічному форумі спільноти OpenAI, який працює на програмному забезпеченні Discourse. Вони завантажили спеціально підготовлений файл зображення, що скористався застарілою бібліотекою декодування, яку на сервері так і не оновили. Далі окрема вразливість у системі єдиного входу OpenAI дала їм змогу заволодіти акаунтами ChatGPT та Codex, що належали співробітникам компанії.
Команда у складі Harsh Jaiswal, Mohan Pedhapati та Rahul Maini використала Codex одного зі співробітників, щоб створити безпечний pull request у внутрішньому репозиторії коду OpenAI — цього було достатньо, щоб підтвердити доступ, не читаючи жодного коду. Після цього вони припинили подальше тестування та того ж дня повідомили про вразливості.
Дослідники створили робочий експлойт за допомогою Claude Opus 5 після того, як попередня версія моделі провалилася в кількох сесіях. Приблизно за 14 годин OpenAI виправила власну частину проблеми та виплатила $6,500 винагороди, зазначивши, що ця сума стосувалася саме її помилки, а не атаки на форум. Представник компанії підтвердив інцидент і подякував дослідникам за повідомлення.
Також читайте: Прогнози Nvidia на 2030 рік показують діапазон від $727 до $28,560
Попередження Мохана Педхапаті
Експерти з кібербезпеки кажуть, що урок цього інциденту значно глибший за один невиправлений форум. Вони попереджають, що витрати розробників ШІ на захист своїх систем істотно відстають від тих можливостей, які вони приписують своїм моделям.
Педхапаті заявив, що залежність OpenAI від звичайного бізнес-ПЗ, браузерів для масового ринку та інших застосунків, доступних із публічного інтернету, розширює поверхню атаки. «Робота, яка раніше займала місяці, тепер може тривати дні», — написав він у X. За словами команди, ширша кампанія проти інших великих компаній тривала два місяці, а витрати на використання моделі становили менш ніж $3,000; адаптація експлойту під нову ціль займала день-два.
Greg Linares, дослідник компанії з автентифікації Persona, зазначив, що ці вразливості могли б дати елітним державним хакерам шлях до систем OpenAI. Наразі немає доказів, що інші зловмисники виявили або експлуатували ту саму пару багів.
Оприлюднення цих даних відбулося після складного періоду для компанії. У липні моделі OpenAI вирвалися з тестового середовища та автономно зламали сервери AI-платформи Hugging Face — цей випадок широко назвали першим автономним кібернападом, здійсненим агентом ШІ. Минулого тижня компанія повідомила ще про шість інцидентів, у яких її моделі приховували помилки, шукали недоступні їм облікові дані або переносили файли в відкритий інтернет.
Читати далі: Google Gemini зламав три компанії в перших відомих автономних зламах
