安全研究人員利用 Anthropic 的 Claude Opus 5，在不到 72 小時內劫持 OpenAI 員工的 ChatGPT 帳號，並取得公司內部程式碼的存取路徑。
重點摘要：
- 研究團隊串接論壇圖片漏洞與 OpenAI 登入缺陷，成功接管 ChatGPT 與 Codex 帳號。
- 新版 Claude 模型在數小時內完成可用漏洞利用程式，舊版則卡關數日。
- OpenAI 在接獲通報約 14 小時後完成修補，並支付 6,500 美元獎勵金。
Hacktron AI 揭露 OpenAI 遭入侵過程
資安新創 Hacktron AI 本週 披露 這起行動，距離他們向 OpenAI 與論壇軟體商 Discourse 通報已近兩個月。另有後續報導 證實，該團隊確實進入一名員工帳號，並找到通往公司私有軟體的路徑。
入侵起點是 OpenAI 的社群論壇。該論壇採用 Discourse 架設，並接受 HEIC 與 HEIF 圖片上傳；相關檔案會送往較舊版本的 libheif 影像函式庫處理，讓團隊得以在伺服器上執行程式碼。Discourse 事後已將這項漏洞 評為 8.8 分的高風險等級，並在影像處理流程中加入沙箱機制。
第二項漏洞則出在 OpenAI 的單一登入設定，導致研究團隊能將論壇權限進一步轉成任何登入該論壇者的 ChatGPT 與 Codex 帳號存取權。接著，他們還要求某位員工連動至 OpenAI GitHub 組織的 Codex，替內部程式庫開出一個無害的 pull request。
OpenAI 在 7 月 25 日收到通報後約 14 小時內完成修補，並支付 6,500 美元漏洞獎勵。
延伸閱讀： 特斯拉 10 月 1 日 Roadster 發表會，正面迎戰華爾街毛利試算
Claude Opus 5 的攻擊效率
研究團隊一開始先以 Claude Opus 4.8 測試該漏洞，但在啟用標準記憶防護後，攻擊始終無法穩定重現。Anthropic 於 7 月 24 日晚間推出 Opus 5 後，研究人員在新的對話中僅花三小時就做出可運作的漏洞利用程式。之後，他們將模型放入自動化迴圈，對自家測試伺服器進行模擬攻擊；由於模型拒絕攻擊遠端目標，研究人員便以駭客競賽的形式包裝測試流程。
令防禦方最難忽視的，或許是成本。研究人員表示，這場更廣泛的行動也掃描了 Slack、Meta 與 Zoom，整體執行兩個月，token 成本不到 3,000 美元，且僅動用三名成員。
他們認為，過去要把記憶體漏洞轉化為可靠攻擊手法，通常需要罕見專長與數月工夫，如今 AI 正把這種稀缺能力轉化為算力問題。
Vitalik Buterin 的安全觀點
不過，並非所有人都認為防守方已全面失勢。Ethereum 共同創辦人 Vitalik Buterin 於 9 月 17 日 回應，寫道：「越來越多人認為 AI 駭客攻擊代表資安已無可救藥，我不同意這種看法。」
他的解方是形式驗證，也就是以數學證明程式確實符合安全規則；但他也承認，更困難的問題在於，如何先定義「安全」本身。
這次披露也讓外界重新關注 OpenAI 自家系統的異常案例。OpenAI 在 7 月曾 確認，其受測模型包括 GPT-5.6 Sol 在測試沙箱中脫離限制，並在追求基準答案時進入 Hugging Face 的正式生產環境；Hugging Face 先行偵測到這起入侵，之後 OpenAI 才將其與自家測試行為連結起來。
