Security researchers at Hacktron ha utilizzato Claude Opus 5 di Anthropic per aiutare a scoprire e sfruttare una catena di vulnerabilità che ha dato loro accesso agli account dipendenti di OpenAI e alla fine è arrivato al repository interno del codice dell’azienda. La ricerca ha richiesto meno di 72 ore dall’indagine iniziale alla dimostrazione dell’accesso, evidenziando come modelli AI avanzati possano accelerare test di sicurezza complessi.
Il lavoro è stato svolto da tre ricercatori della società di sicurezza Hacktron nell’ambito di una ricerca autorizzata sulle vulnerabilità. Invece di sfruttare l’accesso a scopi dannosi, il team ha segnalato i problemi a OpenAI e si è fermato dopo aver dimostrato ciò che si poteva raggiungere.
La catena di attacchi è iniziata con il forum pubblico della community di OpenAI, che funziona su Discourse. I ricercatori hanno scoperto che l’ambiente di elaborazione delle immagini del forum conteneva una versione vulnerabile di libheif, una libreria utilizzata per elaborare immagini HEIC e HEIF.
Un’immagine appositamente preparata poteva attivare una vulnerabilità di memoria quando elaborata dal server. I ricercatori di Hacktron lavorarono per convertire quel difetto in un modo pratico per eseguire codice sull’infrastruttura del forum, ma le protezioni moderne rendevano il compito notevolmente più difficile.
Claude ha svolto un ruolo importante in questa fase. I ricercatori inizialmente sperimentarono con Claude Opus 4.8, ma il modello faticò a produrre un exploit funzionante quando la randomizzazione del layout dello spazio di indirizzi, o ASLR, fu abilitata. Dopo che Claude Opus 5 divenne disponibile a luglio, il team iniziò una nuova sessione e dichiarò che il modello più recente produceva un approccio funzionante nel giro di poche ore.
Compromettere il forum da solo normalmente non fornirebbe accesso all’ambiente di sviluppo interno di OpenAI. Una seconda debolezza riguardante il sistema di autenticazione di OpenAI, tuttavia, ha permesso ai ricercatori di trasformare il controllo del forum in accesso agli account dei dipendenti.
Il forum della community di OpenAI offriva un’opzione “Accedi con OpenAI” collegata all’infrastruttura di autenticazione dell’azienda. Secondo i ricercatori, il modo in cui questa relazione di accesso era configurata significava che il controllo del forum permetteva loro di prendere il controllo delle sessioni ChatGPT e Codex appartenenti ai dipendenti OpenAI che avevano utilizzato il servizio.
I dipendenti interessati non hanno dovuto cliccare su un altro link malevolo o approvare una richiesta di accesso. Una volta combinate le vulnerabilità, i ricercatori sono stati in grado di dimostrare l’accesso a diversi account del personale.
Un account compromesso aveva Codex collegato all’ambiente interno GitHub di OpenAI. Grazie a quella connessione, i ricercatori sono riusciti a raggiungere il repository privato dell’azienda e a creare una pull request innocua come prova che la catena di attacco aveva funzionato.
Hacktron afferma di aver deliberatamente limitato la sua attività dopo questo punto. I ricercatori non hanno ispezionato il codice sorgente di OpenAI, né integrato o distribuito modifiche, né accedito alle informazioni dei clienti, e la pull request era intesa solo a dimostrare il livello di accesso ottenuto.
La portata potenziale avrebbe potuto essere più ampia perché i dipendenti possono collegare servizi esterni a ChatGPT e Codex. I ricercatori hanno detto che sessioni compromesse avrebbero potuto fornire percorsi verso servizi come GitHub, Slack o email, a seconda delle connessioni disponibili per un singolo dipendente, anche se non hanno tentato di esplorare tali possibilità.
La ricerca illustra anche quanto rapidamente si stia sviluppando il lavoro sulle vulnerabilità assistito dall’IA. Costruire un exploit affidabile per una vulnerabilità di corruzione della memoria ha tradizionalmente richiesto competenze specializzate e notevole sforzo manuale, ma i modelli avanzati ora possono aiutare i ricercatori ad analizzare i crash, comprendere il comportamento del software e sviluppare codice proof-of-concept.
L’esperienza umana era comunque richiesta per tutto il progetto. Hacktron non descrisse l’operazione come un sistema di IA autonomo che scopre e sfrutta in modo indipendente OpenAI, e i ricercatori continuarono a dirigere l’indagine e a decidere quali azioni fossero appropriate.
La vulnerabilità sottostante di libheif era già stata corretta a monte prima che Hacktron conducesse la sua ricerca, ma l’ambiente server utilizzato dal forum conteneva ancora una versione più vecchia della libreria. L’incidente dimostra quindi anche come le vulnerabilità possano rimanere raggiungibili quando i componenti patchati non hanno ancora raggiunto ogni pacchetto a valle o immagine server distribuita.
OpenAI ha affrontato la questione di sicurezza dopo aver ricevuto il rapporto di Hacktron. Secondo i ricercatori, l’azienda ha confermato una correzione circa 14 ore dopo e ha successivamente assegnato al team una taglia per bug di 6.500 dollari il 1° settembre.