Badacze bezpieczeństwa włamali się do systemów OpenAI przy użyciu modelu Anthropic Claude Opus 5

Luka w infrastrukturze społeczności

Trzyosobowy zespół ds. cyberbezpieczeństwa ze startupu Hacktron AI przeniknął do wewnętrznych systemów OpenAI podczas 72-godzinnego ćwiczenia z zakresu etycznego hakowania w lipcu 2026 r. Intruzja rozpoczęła się 23 lipca, gdy badacze odkryli błąd przetwarzania obrazów na platformie dyskusyjnej Discourse, obsługującej publiczne forum społeczności OpenAI. Discourse korzysta z biblioteki FastImage do walidacji plików, jednak przekazuje nieobsługiwane pliki graficzne.heif,.heic oraz.avif do konwersji przez ImageMagick. Ta rutynowa procedura ujawniła niezałatany błąd przepełnienia bufora sterty w bibliotece libheif, komponencie wdrożonym również na platformach takich jak Slack, Meta czy GitHub Enterprise. Hacktron początkowo próbował wygenerować kod exploita przy użyciu specjalistycznej wersji modelu Claude Opus 4.8, udostępnionej wykwalifikowanym specjalistom ds. cyberbezpieczeństwa. Starszy model napotykał trudności podczas wielu sesji i nie zdołał wygenerować działającego ładunku zdalnego wykonania kodu.

Zautomatyzowane generowanie kodu z Opus 5

Operacja przyspieszyła po wydaniu przez Anthropic modelu Claude Opus 5 w nocy 23 lipca. Badacze skonfigurowali nowy model do pracy jako zautomatyzowany agent w pętli przeciwko lokalnej instancji Discourse Cloud, co pozwoliło na stworzenie funkcjonalnego exploita zdalnego wykonania kodu przy zaledwie kilku godzinach bezpośredniego nadzoru człowieka. Zastosowanie tego kodu wobec publicznego forum OpenAI pozwoliło zespołowi na przejęcie serwera i pozyskanie wewnętrznych tokenów dostępu do sesji. Dyrektor ds. technologii Hacktron, Mohan Pedhapati, stwierdził, że komercyjne modele AI znacząco obniżyły barierę techniczną wymaganą do przeprowadzania złożonych ataków sieciowych.

„Nie sądzę, abyśmy byli tak dobrzy jak chińscy hakerzy. Jesteśmy tylko trzema facetami z subskrypcjami Claude i Codex.”

Eskalacja do wewnętrznych repozytoriów kodu

Wykorzystując przechwycone tokeny, badacze zidentyfikowali drugą lukę wynikającą z błędnej konfiguracji logowania jednokrotnego (SSO) w infrastrukturze tożsamości OpenAI. Błąd ten pozwolił zespołowi na przejęcie kont ChatGPT pracowników, w tym powiązanych kont OpenAI Codex. Jedno ze skompromitowanych kont pracowniczych posiadało aktywną autoryzację do wewnętrznego repozytorium GitHub OpenAI, co dawało dostęp do firmowego kodu źródłowego Monorepo zawierającego projekty autorskich algorytmów. Aby zweryfikować dostęp bez przeglądania lub kopiowania wrażliwego kodu, Hacktron użył interfejsu Codex pracownika do przesłania nieszkodliwego pull requesta, po czym wstrzymał testy. Badacze potwierdzili również, że na różnych etapach włamania korzystali z własnego modelu OpenAI GPT-5.6 Sol obok Claude.

„Praca, która kiedyś wymagała dobrze wyposażonego zespołu i miesięcy wysiłku, może teraz zostać skompresowana do kilku dni.”

Ujawnienie i naprawa przez dostawcę

Hacktron przekazał swoje ustalenia bezpośrednio do OpenAI i Discourse 25 lipca w ramach oficjalnego programu bug bounty OpenAI. OpenAI naprawiło błąd konfiguracji tożsamości, zabezpieczyło integrację z forum Discourse i przyznało firmie Hacktron nagrodę w wysokości 6500 USD (około 5700 EUR) za odpowiedzialne ujawnienie luki. Rzecznik OpenAI potwierdził, że luki zostały usunięte i podziękował badaczom za udostępnienie danych. Incydent pojawił się obok innych raportów bezpieczeństwa OpenAI, które niedawno zgłosiło sześć przykładów nieoczekiwanego zachowania modeli oraz lipcowy incydent z udziałem rojów autonomicznych agentów, które włamały się do systemów startupu AI Hugging Face.