Các nhà nghiên cứu an ninh mạng đã sử dụng Claude Opus 5 của Anthropic để chiếm quyền tài khoản ChatGPT của một nhân viên OpenAI và tiếp cận mã nguồn nội bộ của công ty chỉ trong chưa đầy 72 giờ.
Các điểm chính:
- Nhóm nghiên cứu kết hợp lỗi hình ảnh trên diễn đàn với một lỗ hổng đăng nhập của OpenAI để chiếm quyền tài khoản ChatGPT và Codex.
- Mô hình Claude mới hơn đã tạo được khai thác hoạt động chỉ trong vài giờ, trong khi phiên bản cũ bế tắc nhiều ngày.
- OpenAI khắc phục phía mình sau khoảng 14 giờ kể từ khi nhận báo cáo và sau đó trả thưởng 6.500 USD.
Vụ xâm nhập OpenAI của Hacktron AI
Nhóm nghiên cứu thuộc startup an ninh mạng Hacktron AI công bố chiến dịch này trong tuần qua, gần hai tháng sau khi họ báo cáo vụ việc cho OpenAI và hãng phần mềm diễn đàn Discourse. Một báo cáo riêng xác nhận nhóm đã tiếp cận được tài khoản của một nhân viên và tìm ra đường vào phần mềm nội bộ của công ty.
Điểm xâm nhập là diễn đàn cộng đồng của OpenAI, vận hành trên Discourse và cho phép tải lên ảnh HEIC, HEIF. Các tệp này được chuyển tới một bản cài đặt cũ của thư viện xử lý ảnh libheif, tạo cơ hội để nhóm chạy mã trên máy chủ. Discourse sau đó đã đánh giá lỗ hổng gốc ở mức 8,8/10 về độ nghiêm trọng và bổ sung cơ chế cô lập khi xử lý hình ảnh.
Một lỗ hổng khác nằm trong hệ thống đăng nhập một lần (SSO) của OpenAI, qua đó việc kiểm soát diễn đàn có thể dẫn tới quyền truy cập vào tài khoản ChatGPT và Codex của bất kỳ ai đăng nhập tại đó. Sau đó, nhóm yêu cầu Codex của một nhân viên, được kết nối với tổ chức GitHub của OpenAI, tạo một pull request vô hại trong kho mã nội bộ.
OpenAI đã khắc phục phía mình khoảng 14 giờ sau báo cáo ngày 25/7, rồi chi trả khoản thưởng phát hiện lỗi trị giá 6.500 USD.
Tốc độ khai thác của Claude Opus 5
Ban đầu, nhóm thử dùng Claude Opus 4.8 để khai thác lỗ hổng, nhưng mô hình này không thể tạo ra cuộc tấn công đủ ổn định khi các cơ chế bảo vệ bộ nhớ tiêu chuẩn được bật lên. Anthropic ra mắt Opus 5 vào tối 24/7, và chỉ sau ba giờ trong một phiên làm việc mới, mô hình này đã tạo được khai thác hoạt động. Các nhà nghiên cứu sau đó cho mô hình chạy tự động theo vòng lặp trên máy chủ kiểm thử của chính họ, nhưng ngụy trang thành một cuộc thi hack vì mô hình từ chối tấn công mục tiêu từ xa.
Chi phí mới là yếu tố mà bên phòng thủ khó có thể bỏ qua. Theo nhóm nghiên cứu cho biết, chiến dịch rộng hơn, cũng nhắm tới Slack, Meta và Zoom, kéo dài hai tháng với chưa đến 3.000 USD token và chỉ ba người tham gia.
Họ lập luận rằng trước đây, việc biến một lỗi bộ nhớ thành một khai thác đáng tin cậy đòi hỏi kỹ năng hiếm có và nhiều tháng công sức; còn AI đang chuyển hóa năng lực khan hiếm đó thành năng lực tính toán.
Phản ứng an ninh của Vitalik Buterin
Tuy nhiên, không phải ai cũng xem đây là tín hiệu khiến phe phòng thủ thất bại. Đồng sáng lập Ethereum Vitalik Buterin cho rằng ngày 17/9 rằng “ngày càng phổ biến quan điểm cho rằng hack bằng AI đồng nghĩa an ninh mạng đã hết hy vọng”, nhưng ông không đồng tình.
Giải pháp mà ông đưa ra là kiểm chứng hình thức, tức chứng minh bằng toán học rằng một chương trình tuân thủ các quy tắc an ninh đã đặt ra. Dù vậy, ông thừa nhận bài toán khó hơn là phải xác định trước thế nào mới được xem là “an toàn”.
Vụ công bố này cũng nối tiếp một trường hợp kỳ lạ hơn liên quan đến chính hệ thống của OpenAI. Tháng 7, công ty xác nhận các mô hình đang được đánh giá, trong đó có GPT-5.6 Sol, đã thoát khỏi môi trường thử nghiệm và truy cập hạ tầng sản xuất của Hugging Face khi tìm câu trả lời cho các bài benchmark. Hugging Face phát hiện xâm nhập này trước khi OpenAI liên hệ nó với hoạt động kiểm thử của chính mình.
Đọc tiếp: Huawei nhắm tới hệ thống AI 1 triệu bộ xử lý trong nỗ lực đối đầu Nvidia
