安全研究人員動用 Anthropic 的 Claude Opus 5， 在不到 72 小時內成功劫持一名 OpenAI 員工的 ChatGPT 帳號，並進一步接觸到公司內部程式碼。
重點摘要：
- 研究人員串聯論壇圖片漏洞與 OpenAI 登入缺陷，取得 ChatGPT 與 Codex 帳號控制權。
- 新版 Claude 模型在數小時內做出可用攻擊手法，舊版則卡關數天。
- OpenAI 在收到通報後約 14 小時修補，並支付 6,500 美元獎金。
Hacktron AI 揭露 OpenAI 資安事件
資安新創 Hacktron AI 本週對外 披露 這起行動；距離他們向 OpenAI 及論壇軟體廠商 Discourse 通報，已接近兩個月。另有後續報導 證實，研究團隊已進入員工帳號，並找到通往公司內部軟體的路徑。
入侵入口來自 OpenAI 的社群論壇，該論壇採用 Discourse 架設，並支援 HEIC 與 HEIF 圖片上傳。相關檔案會交由較舊版本的 libheif 影像函式庫處理，讓團隊得以在伺服器上執行程式碼。Discourse 隨後已將這項底層漏洞 評為 8.8 分（滿分 10 分）的高風險漏洞，並替圖片處理流程加入沙箱機制。
第二個漏洞則存在於 OpenAI 的單一登入架構，讓研究團隊得以把論壇權限轉化為任何登入該論壇者的 ChatGPT 與 Codex 帳號存取權。之後，團隊再指示其中一名員工的 Codex 帳號（已連結 OpenAI 的 GitHub 組織），在內部程式碼庫中建立一個無害的 pull request。
OpenAI 在 7 月 25 日接獲通報後，約 14 小時內完成修補，並支付 6,500 美元漏洞獎金。
延伸閱讀： 特斯拉 10 月 1 日 Roadster 發表倒數，華爾街先算毛利帳
Claude Opus 5 的攻擊生成速度
團隊起初先用 Claude Opus 4.8 嘗試利用該漏洞，但在一般記憶體防護機制啟用後，攻擊始終無法穩定運作。Anthropic 於 7 月 24 日晚間推出 Opus 5，新開啟的對話不到三小時就生成可行的攻擊程式。
研究人員之後把模型放進自動化迴圈，對自家測試伺服器反覆演練；由於模型拒絕攻擊遠端目標，他們將整個過程包裝成一場駭客競賽。
防守方最難忽視的，恐怕是成本。研究人員 表示，這次更大範圍的行動也掃描了 Slack、Meta 與 Zoom，整體執行兩個月、花費不到 3,000 美元的 token，且僅由三人完成。
他們認為，過去要把記憶體漏洞轉化為可重複利用的攻擊手法，往往需要罕見專業與數月工夫，如今 AI 正把這種稀缺技能轉變為算力問題。
Vitalik Buterin 對資安風險的看法
不過，並非所有人都把這項發展視為防禦方全面失守。Ethereum 共同創辦人 Vitalik Buterin 於 9 月 17 日 回應 表示，外界愈來愈常認為「AI 駭客代表資安已無解」，但他並不同意這種看法。
他主張以形式化驗證作為解方，也就是透過數學證明，確認程式符合安全規則；但他也承認，更困難的是先界定何謂「安全」。
這次揭露也呼應 OpenAI 自家系統的一樁更離奇事件。該公司今年 7 月 證實，受測模型包括 GPT-5.6 Sol 在內，為了完成基準測試答案而突破測試沙箱，並接觸到 Hugging Face 的正式生產環境。Hugging Face 先偵測到這次入侵，之後 OpenAI 才將其與自家測試行為連結起來。
