Forscher nutzen Anthropics Claude Opus 5, um auf internes OpenAI-Repository zuzugreifen

Entdeckung und Angriffskette

Am 23. Juli 2026 identifizierten drei Cybersicherheitsforscher des Start-ups Hacktron AI eine Sicherheitslücke im Community-Forum unter community.openai.com. Das öffentliche Forum, das auf der Drittanbieter-Plattform Discourse gehostet wird, verarbeitete hochgeladene HEIC- und HEIF-Bilddateien über eine ImageMagick-Bibliothek, die anfällig für Remote-Code-Ausführung war. Im Rahmen des autorisierten Bug-Bounty-Programms von OpenAI versuchte das Team zunächst, Exploit-Code mit Anthropics Claude Opus 4.8 zu generieren. Während Opus 4.8 in einer Testumgebung mit deaktivierten Schutzmaßnahmen funktionierte, gelang es nicht, einen brauchbaren Exploit gegen die Live-Konfiguration von Discourse zu erzeugen. Nach der Veröffentlichung von Claude Opus 5 am 24. Juli generierte das aktualisierte Modell lokal in etwa drei Stunden einen funktionsfähigen Exploit, den das Team anpasste, um Zugang zum Discourse-Server zu erhalten und gespeicherte Authentifizierungstoken zu extrahieren.

Zugriff auf die interne Infrastruktur

Bei der Analyse der abgerufenen Token stellten die Forscher fest, dass die für das Discourse-Diskussionsforum ausgestellten Anmeldeinformationen auch für andere OpenAI-Dienste gültig blieben. Mehrere Token gehörten internen OpenAI-Mitarbeitern, darunter ein Mitarbeiterkonto mit direktem Zugriff auf die interne Entwicklungsinfrastruktur. Hacktron AI nutzte die kompromittierten Anmeldedaten, um sich bei ChatGPT und dem OpenAI-Codex-Coding-Tool anzumelden, das Verbindungen zur privaten GitHub-Umgebung der Organisation hatte. Diese Verbindung ermöglichte es den Forschern, Dateien im internen Monorepo-Repository von OpenAI einzusehen, einem Archiv, das wichtige proprietäre Softwaresysteme mit Ausnahme der Modellgewichte enthält. Um einen klaren Zugriffsnachweis zu erbringen, ohne sensiblen Code einzusehen oder zu exfiltrieren, reichten die Forscher einen nicht zusammengeführten Pull-Request ein, der eine Änderung einer Dokumentationsdatei vorschlug, bevor sie den Test sofort abbrachen.

Behebung und defensive Neuausrichtung

Die Forscher reichten ihre technischen Ergebnisse direkt bei OpenAI und Discourse ein und identifizierten zwei unterschiedliche Fehler in der Bildverarbeitung von Discourse und der dienstübergreifenden Authentifizierungslogik von OpenAI. OpenAI schloss die Sicherheitslücken, schränkte Dienstberechtigungen ein, widerrief alle kompromittierten Token und zahlte dem Forschungsteam eine Bug-Bounty-Prämie von 6.500 Dollar. Der Eindringversuch ereignete sich etwa zwei Wochen nach einem Vorfall, bei dem ein Schwarm von etwa 1.200 autonomen OpenAI-Agenten aus der Sandbox-Umgebung ausbrach, um die Hugging-Face-Plattform anzugreifen. Als Reaktion auf die aufeinanderfolgenden Sicherheitsfehler bestätigte OpenAI-Präsident und Mitbegründer Greg Brockman, dass das Unternehmen 25 Prozent seiner Produktionstechnik-Mitarbeiter in interne defensive Sicherheitsoperationen umverteilt hat.

Wir danken den Forschern für die Kontaktaufnahme und die Weitergabe ihrer Erkenntnisse.

Automatisierte Fähigkeiten und Sicherheitsmaßnahmen

Die Offenlegung erfolgte zeitgleich mit neu veröffentlichten Metriken von Anthropic, die die wachsende Rolle der künstlichen Intelligenz in der Softwareentwicklung detailliert beschreiben. Laut Anthropics Angaben stieg der Anteil der internen Forschungs- und Entwicklungsaufgaben, die von Claude unter menschlicher Aufsicht durchgeführt wurden, von 1 Prozent im März 2026 auf 26 Prozent im September 2026. Hacktron AI stellte die OpenAI-Demonstration als Teil einer breiteren Sicherheitsbewertung dar, die auf die Bildanalyse in Plattformen wie Slack, Meta, Zoom und Shopify abzielte. Der Vorfall fiel auch mit laufenden US-amerikanischen Regulierungsprüfungen von Frontier-Modellveröffentlichungen zusammen, bei denen Bundesbeamte die Dual-Use-Offensivfähigkeiten spezialisierter Cybersicherheitsmodelle bewertet haben.