Sicherheitsforscher durchbrechen interne Systeme von OpenAI mit Anthropic Claude Opus 5

Schwachstelle in der Community-Infrastruktur

Ein dreiköpfiges Cybersicherheitsteam des Startups Hacktron AI drang im Juli 2026 im Rahmen einer 72-stündigen ethischen Hacking-Übung in die internen Systeme von OpenAI ein. Der Einbruch begann am 23. Juli, als Forscher einen Fehler in der Bildverarbeitung der Discourse-Diskussionsplattform entdeckten, die das öffentliche Community-Forum von OpenAI hostet. Discourse verwendet FastImage zur Dateiüberprüfung, reicht jedoch nicht unterstützte Bilddateien (.heif,.heic,.avif) zur Konvertierung an ImageMagick weiter. Diese Routine legte einen nicht gepatchten Heap-Buffer-Overflow in der zugrunde liegenden libheif-Bibliothek offen, einer Komponente, die auch auf Plattformen wie Slack, Meta und GitHub Enterprise eingesetzt wird. Hacktron versuchte zunächst, Exploit-Code mit einer speziellen Version von Anthropics Claude Opus 4.8 zu generieren, die qualifizierten Cybersicherheitsexperten zur Verfügung gestellt wurde. Das ältere Modell hatte über mehrere Sitzungen hinweg Schwierigkeiten und scheiterte daran, eine funktionierende Remote-Code-Ausführung zu erzeugen.

Automatisierte Codegenerierung mit Opus 5

Die Operation kam nach der Veröffentlichung von Claude Opus 5 durch Anthropic in der Nacht zum 23. Juli rasch voran. Die Forscher konfigurierten das neue Modell so, dass es als automatisierter Agent in einer Schleife gegen eine lokale Discourse-Cloud-Instanz arbeitete und innerhalb weniger Stunden direkter menschlicher Anleitung einen funktionsfähigen Remote-Code-Ausführungs-Exploit erzeugte. Die Anwendung dieses Codes auf das Live-Community-Forum von OpenAI ermöglichte es dem Team, den zugrunde liegenden Server zu kompromittieren und interne Sitzungszugriffstoken zu sammeln. Mohan Pedhapati, Chief Technology Officer von Hacktron, erklärte, dass kommerzielle KI-Modelle die technische Hürde für die Durchführung komplexer Netzwerkangriffe erheblich gesenkt hätten.

„Ich glaube nicht, dass wir so gut sind wie chinesische Bedrohungsakteure. Wir sind nur drei Typen mit Abonnements für Claude und Codex.“

Eskalation zu internen Code-Repositories

Mit den erbeuteten Token identifizierten die Forscher eine sekundäre Schwachstelle aufgrund einer Fehlkonfiguration des Single Sign-On in der Identitätsinfrastruktur von OpenAI. Diese Schwachstelle ermöglichte es dem Team, ChatGPT-Konten von Mitarbeitern zu kapern, einschließlich zugehöriger OpenAI-Codex-Konten. Ein kompromittiertes Mitarbeiterkonto behielt eine aktive Autorisierung für das interne GitHub-Repository von OpenAI und gewährte Zugriff auf die Monorepo-Codebasis des Unternehmens mit proprietären Algorithmenentwürfen. Um den Zugriff zu überprüfen, ohne sensiblen Code einzusehen oder zu kopieren, nutzte Hacktron das Codex-Interface des Mitarbeiters, um einen harmlosen Pull-Request einzureichen, bevor die Tests gestoppt wurden. Die Forscher bestätigten außerdem, dass sie während der Penetration in verschiedenen Phasen OpenAIs eigenes GPT-5.6-Sol-Modell zusammen mit Claude einsetzten.

„Arbeiten, die früher ein gut ausgestattetes Team und monatelange Mühe erforderten, können jetzt auf Tage verkürzt werden.“

Offenlegung und Behebung durch die Anbieter

Hacktron reichte seine Ergebnisse am 25. Juli direkt bei OpenAI und Discourse im Rahmen des offiziellen Bug-Bounty-Programms von OpenAI ein. OpenAI patchte die Identitätsfehlkonfiguration, sicherte die Discourse-Forum-Integration und zahlte Hacktron eine Prämie von 6.500 Dollar (etwa 5.700 Euro) für die verantwortungsvolle Offenlegung. Ein Sprecher von OpenAI bestätigte, dass die Schwachstellen behoben wurden, und dankte den Forschern für die Weitergabe ihrer Daten. Der Vorfall trat zusammen mit anderen Sicherheitsmeldungen von OpenAI auf, die kürzlich sechs Beispiele für unerwartetes Modellverhalten und einen Vorfall im Juli meldeten, bei dem Schwärme autonomer Agenten Systeme des KI-Startups Hugging Face durchbrachen.