Security researchers at Hacktron gebruikte Anthropic’s Claude Opus 5 om een keten van kwetsbaarheden te onthullen en te exploiteren die hen toegang gaven tot OpenAI-medewerkersaccounts en uiteindelijk de interne coderepository van het bedrijf bereikten. Het onderzoek duurde minder dan 72 uur vanaf het eerste onderzoek tot het aantonen van toegang, wat benadrukt hoe geavanceerde AI-modellen complexe beveiligingstests kunnen versnellen.
Het werk werd uitgevoerd door drie onderzoekers van beveiligingsbedrijf Hacktron als onderdeel van geautoriseerd onderzoek naar kwetsbaarheden. In plaats van de toegang voor kwaadaardige doeleinden te misbruiken, rapporteerde het team de problemen aan OpenAI en stopte nadat ze hadden aangetoond wat bereikbaar was.
De aanvalketen begon met het openbare communityforum van OpenAI, dat draait op Discourse. De onderzoekers ontdekten dat de beeldverwerkingsomgeving van het forum een kwetsbare versie van libhuif bevatte, een bibliotheek die wordt gebruikt om HEIC- en HEIF-beelden te verwerken.
Een speciaal voorbereide afbeelding kon een geheugenkwetsbaarheid veroorzaken wanneer deze door de server werd verwerkt. De onderzoekers van Hacktron werkten eraan om die fout om te zetten in een praktische manier om code uit te voeren op de foruminfrastructuur, maar moderne beveiligingen maakten de taak aanzienlijk moeilijker.
Claude speelde in deze fase een belangrijke rol. De onderzoekers experimenteerden aanvankelijk met Claude Opus 4.8, maar het model had moeite om een werkende exploit te produceren toen address space layout randomization, of ASLR, werd ingeschakeld. Nadat Claude Opus 5 in juli beschikbaar kwam, startte het team een nieuwe sessie en zei dat het nieuwere model binnen enkele uren een werkende aanpak produceerde.
Het alleen compromitteren van het forum zou normaal gesproken geen toegang geven tot de interne ontwikkelomgeving van OpenAI. Een tweede zwakte met betrekking tot het authenticatiesysteem van OpenAI stelde de onderzoekers echter in staat om controle over het forum om te zetten in toegang tot medewerkersaccounts.
Het communityforum van OpenAI bood een optie “Aanmelden met OpenAI” die gekoppeld was aan de authenticatie-infrastructuur van het bedrijf. Volgens de onderzoekers betekende de manier waarop deze inlogrelatie was geconfigureerd dat het controleren van het forum hen in staat kon stellen ChatGPT- en Codex-sessies over te nemen van OpenAI-medewerkers die de dienst hadden gebruikt.
De getroffen medewerkers hoefden niet op een andere kwaadaardige link te klikken of een inlogverzoek goed te keuren. Zodra de kwetsbaarheden waren samengevoegd, konden de onderzoekers toegang tot verschillende personeelsaccounts aantonen.
Een gecompromitteerd medewerkeraccount had Codex verbonden met de interne GitHub-omgeving van OpenAI. Met die verbinding konden de onderzoekers toegang krijgen tot de privé-repository van het bedrijf en een onschuldige pull request aanmaken als bewijs dat de aanvalsketen werkte.
Hacktron zegt dat het zijn activiteiten na dit punt bewust heeft beperkt. De onderzoekers hebben de broncode van OpenAI niet geïnspecteerd, geen wijzigingen samengevoegd of geïmplementeerd, noch klantinformatie benaderd, en de pull request was alleen bedoeld om het toegangsniveau aan te tonen dat ze hadden verkregen.
Het potentiële bereik had breder kunnen zijn omdat medewerkers externe diensten kunnen verbinden met ChatGPT en Codex. De onderzoekers zeiden dat gecompromitteerde sessies mogelijk paden hadden kunnen bieden naar diensten zoals GitHub, Slack of e-mail, afhankelijk van de verbindingen die een individuele medewerker had, hoewel ze die mogelijkheden niet probeerden te onderzoeken.
Het onderzoek laat ook zien hoe snel AI-ondersteunde kwetsbaarheidswerk zich ontwikkelt. Het bouwen van een betrouwbare exploit voor een geheugencorruptie-kwetsbaarheid vereist traditioneel gespecialiseerde expertise en aanzienlijke handmatige inspanning, maar geavanceerde modellen kunnen onderzoekers nu helpen bij het analyseren van crashes, het begrijpen van softwaregedrag en het ontwikkelen van proof-of-conceptcode.
Menselijke expertise was gedurende het hele project nog steeds vereist. Hacktron beschreef de operatie niet als een autonoom AI-systeem dat OpenAI onafhankelijk ontdekte en exploiteerde, en de onderzoekers bleven het onderzoek leiden en beslissen welke acties passend waren.
De onderliggende libheif-kwetsbaarheid was al upstream opgelost voordat Hacktron zijn onderzoek deed, maar de serveromgeving die door het forum werd gebruikt bevatte nog steeds een oudere versie van de bibliotheek. Het incident toont dus ook aan hoe kwetsbaarheden bereikbaar kunnen blijven wanneer gepatchte componenten nog niet elk downstreampakket of geïmplementeerde serverimage hebben bereikt.
OpenAI pakte het beveiligingsprobleem aan na ontvangst van het rapport van Hacktron. Volgens de onderzoekers bevestigde het bedrijf ongeveer 14 uur later een oplossing en kende het team vervolgens op 1 september een bug-bounty van $6.500 toe.