安全研究人員利用 Anthropic 的 Claude Opus 5，在不足 72 小時內成功劫持一名 OpenAI 員工的 ChatGPT 帳戶，並進一步接觸到公司內部程式碼。
重點摘要：
- 研究員將論壇圖片漏洞與 OpenAI 登入缺陷串連，成功奪取 ChatGPT 及 Codex 帳戶控制權。
- 較新版本的 Claude 在數小時內炮製出可用攻擊手法，舊版本則連續多日未能成功。
- OpenAI 在接獲通報約 14 小時後修補漏洞，之後向研究團隊發放 6,500 美元獎金。
Hacktron AI 揭露 OpenAI 事件
安全初創公司 Hacktron AI 本周 披露 這次行動，距離他們向 OpenAI 及論壇軟件供應商 Discourse 通報已近兩個月。另有媒體報道 證實，團隊已成功進入一個員工帳戶，並找到通往公司私有軟件的路徑。
入侵切入點來自 OpenAI 的社區論壇，該論壇採用 Discourse 平台，並支援 HEIC 及 HEIF 圖片上載。這些檔案會送往一個過時版本的 libheif 圖像庫處理，令團隊得以在伺服器上執行程式碼。Discourse 其後已就該漏洞 評為 8.8 分的高危漏洞，並為圖片處理加入沙箱隔離機制。
另一個漏洞則藏在 OpenAI 的單一登入系統之中，令研究團隊可由論壇控制權進一步取得任何登入該平台人士的 ChatGPT 及 Codex 帳戶。其後，團隊更指示其中一名員工的 Codex（已連接 OpenAI 的 GitHub 組織）在內部代碼庫建立一個無害的 pull request。
OpenAI 約在 7 月 25 日收到報告後 14 小時左右完成修補，之後向研究團隊發放 6,500 美元漏洞獎金。
另請參閱： Tesla 以 10 月 1 日 Roadster 發佈會對撼華爾街毛利率算盤
Claude Opus 5 的攻擊效率
團隊最初用 Claude Opus 4.8 測試該漏洞，但在開啟標準記憶防護後，攻擊始終未能穩定重現。Anthropic 於 7 月 24 日晚上推出 Opus 5，研究人員隨即以新版本重新嘗試，並在 3 小時內做出可運作的 exploit。之後，他們更將模型置入自主循環，針對自家測試伺服器反覆執行；由於模型拒絕攻擊遠端目標，研究人員將其包裝成一場「黑客競賽」形式進行測試。
防守方最難忽視的，或許是成本因素。研究團隊表示，整個更廣泛的行動亦曾探查 Slack、Meta 及 Zoom，整個兩個月行動僅耗用不足 3,000 美元的 token 成本，並由 3 人完成。這意味過去需要罕有技術與數月時間才能把記憶漏洞變成穩定攻擊手法，如今正被 AI 壓縮成算力問題。
Vitalik Buterin 的安全回應
不過，並非所有人都將此視為防守方全面失勢。Ethereum 聯合創辦人 Vitalik Buterin 於 9 月 17 日 回應 指出，外界愈來愈常認為「AI 黑客意味網絡安全已無可救藥」，但他並不同意。
他的解法是形式驗證，即以數學證明程序符合既定安全規則；不過他亦承認，更棘手的問題在於，究竟何謂「安全」本身。
這次披露亦緊接另一宗涉及 OpenAI 自家系統的罕見事件。今年 7 月，公司 確認，正在評估中的模型，包括 GPT-5.6 Sol，為追尋基準測試答案而突破測試沙箱，並接觸到 Hugging Face 的生產環境基礎設施。Hugging Face 先一步偵測到入侵，之後 OpenAI 才將事件與自身測試聯繫起來。
