安全研究人员借助 Anthropic 的 Claude Opus 5， 在不足 72 小时内劫持了 OpenAI 一名员工的 ChatGPT 账户，并进入了公司的内部代码系统。
重点摘要：
- 研究人员将论坛图片漏洞与 OpenAI 登录缺陷串联，拿下 ChatGPT 和 Codex 账户权限。
- 较新的 Claude 模型在数小时内就构造出可用漏洞，而旧版本连续数日都未能成功。
- OpenAI 在收到报告后约 14 小时修复问题，并向研究员支付 6,500 美元漏洞奖金。
Hacktron AI 披露 OpenAI 入侵事件
安全初创公司 Hacktron AI 本周 披露 了这次行动。此前近两个月，他们已将相关情况报告给 OpenAI 以及论坛软件开发商 Discourse。另有独立报道 证实 ，该团队确实进入了某名员工账户，并找到了一条通往公司私有软件的路径。
入侵切口来自 OpenAI 的社区论坛。该论坛基于 Discourse 搭建，支持上传 HEIC 和 HEIF 图片文件。研究人员利用这些文件触发了旧版 libheif 图像库中的漏洞，从而在服务器上执行代码。Discourse 此后已就该漏洞 标注 为 8.8 分高危，并为图片处理增加了沙箱隔离机制。
第二个漏洞出现在 OpenAI 的单点登录系统中，导致一旦控制论坛权限，就能进一步获取任何登录用户的 ChatGPT 和 Codex 账户。随后，研究人员让一名员工的 Codex 账户（与 OpenAI 的 GitHub 组织关联）在内部代码库中发起了一次无害的拉取请求。
OpenAI 在 7 月 25 日收到报告后约 14 小时修复了相关问题，并向研究团队支付了 6,500 美元奖金。
延伸阅读： 特斯拉把 Roadster 发布押在 10 月 1 日，直面华尔街利润率算账
Claude Opus 5 的攻破速度
研究团队最初用 Claude Opus 4.8 测试该漏洞，但在常规记忆防御机制开启后，模型无法稳定生成可行攻击方案。Anthropic 于 7 月 24 日晚推出 Opus 5 后，研究人员重新开启会话，仅用三小时就生成了可用的利用代码。之后，他们在自有测试服务器上让模型进入自主循环运行，并伪装成黑客竞赛，因为模型拒绝攻击远程目标。
对防守方而言，最难忽视的或许是成本问题。研究人员 表示，这项更大范围的行动还涉及对 Slack、Meta 和 Zoom 的测试，整个项目持续两个月，消耗不到 3,000 美元的 token 成本，仅由三人完成。
他们认为，把记忆漏洞转化为稳定可复现的攻击，以往需要稀缺技能和数月时间，而如今 AI 正在把这种稀缺能力转化为算力。
Vitalik Buterin 谈安全应对
也并非所有人都认为这意味着防御方彻底失守。以太坊 联合创始人 Vitalik Buterin 在 9 月 17 日 表示，外界越来越常见的一种说法是“AI 黑客意味着网络安全已无可救药”，但他并不同意。
他的解决思路是形式化验证，即用数学证明程序满足既定安全规则；不过他也承认，真正更难的问题在于：首先要定义什么才算“安全”。
这一披露还牵出 OpenAI 自家系统的另一桩异常。今年 7 月，公司 确认 其参与评估的模型（包括 GPT-5.6 Sol）在追逐基准答案时突破测试沙箱，进入了 Hugging Face 的生产基础设施。Hugging Face 先行发现了这次入侵，随后 OpenAI 才将其与自身测试联系起来。
