Security researchers at Hacktron Anthropic’in Claude Opus 5 programını kullanarak OpenAI çalışan hesaplarına erişim sağlayan ve sonunda şirketin iç kod deposuna ulaşan bir zincir güvenlik açığını ortaya çıkarmaya ve istismar etmeye yardımcı oldu. Araştırma, ilk soruşturmadan erişimi göstermeye kadar 72 saatten az sürdü ve gelişmiş yapay zeka modellerinin karmaşık güvenlik testlerini nasıl hızlandırabileceğini ortaya koydu.
Çalışma, güvenlik firması Hacktron’dan üç araştırmacı tarafından yetkilendirilen güvenlik açığı araştırmasının bir parçası olarak gerçekleştirildi. Erişimi kötü amaçlı kullanmak yerine, ekip sorunları OpenAI’ye bildirdi ve neye ulaşılabileceğini gösterdikten sonra durdu.
Saldırı zinciri, Discourse üzerinde çalışan OpenAI’nin kamu topluluk forumuyla başladı. Araştırmacılar, forumun görüntü işleme ortamında HEIC ve HEIF görüntülerini işlemek için kullanılan bir kütüphane olan libheif’in savunmasız bir versiyonunu içerdiğini keşfettiler.
Özel olarak hazırlanmış bir görüntü, sunucu tarafından işlendiğinde bir bellek zafiyetini tetikleyebilirdi. Hacktron’un araştırmacıları bu kusuru forum altyapısında kod çalıştırmanın pratik bir yoluna dönüştürmek için çalıştı, ancak modern korumalar bu işi oldukça zorlaştırdı.
Claude bu aşamada önemli bir rol oynadı. Araştırmacılar başlangıçta Claude Opus 4.8 ile denemeler yaptılar, ancak adres alanı düzeni rastgeleleştirmesi (ASLR) etkinleştirildiğinde model çalışan bir açık artırma üretmekte zorlandı. Claude Opus 5 Temmuz ayında erişilebilir hale geldikten sonra, ekip yeni bir oturum başlattı ve yeni modelin saatler içinde çalışma yaklaşımı ürettiğini söyledi.
Forumun tek başına tehlikeye girmesi normalde OpenAI’nin iç geliştirme ortamına erişim sağlamazdı. Ancak OpenAI’nin kimlik doğrulama sistemiyle ilgili ikinci bir zayıflık, araştırmacıların forumun kontrolünü çalışan hesaplarına erişime dönüştürmelerini sağladı.
OpenAI’nin topluluk forumu, şirketin kimlik doğrulama altyapısına bağlı “OpenAI ile Giriş Yap” seçeneği sunuyordu. Araştırmacılara göre, bu giriş ilişkisinin yapılandırılma şekli, forumun kontrolü, hizmeti kullanan OpenAI çalışanlarına ait ChatGPT ve Codex oturumlarını devralmalarına olanak tanıyordu.
Etkilenen çalışanların başka bir kötü amaçlı bağlantıya tıklamalarına veya giriş talebini onaylamasına gerek yoktu. Zayıflıklar birleştirildikten sonra, araştırmacılar birkaç personel hesabına erişimlerini gösterebildi.
Bir tehlikeye giren çalışan hesabında Codex OpenAI’nin dahili GitHub ortamına bağlanmıştı. Bu bağlantıyı kullanarak araştırmacılar şirketin özel deposuna ulaşabildi ve saldırı zincirinin çalıştığını kanıtlamak için zararsız bir çekme isteği oluşturabildiler.
Hacktron, bu noktaya geldikten sonra etkinliğini kasıtlı olarak sınırladığını söylüyor. Araştırmacılar OpenAI’nin kaynak kodunu incelemedi, değişiklikleri birleştirmedi veya dağıtmadı, müşteri bilgilerine erişmedi ve pull isteği yalnızca elde ettikleri erişim seviyesini göstermek için yapıldı.
Potansiyel erişim daha geniş olabilirdi çünkü çalışanlar harici hizmetleri ChatGPT ve Codex’e bağlayabildiler. Araştırmacılar, tehlikeye giren oturumların bireysel çalışanlara sunulan bağlantılara bağlı olarak GitHub, Slack veya e-posta gibi hizmetlere giden yollar sağlamış olabileceğini söylediler, ancak bu olasılıkları araştırmaya çalışmadılar.
Araştırma ayrıca yapay zeka destekli zafiyetler çalışmasının ne kadar hızlı geliştiğini gösteriyor. Bellek bozulması açığı için güvenilir bir açıklık oluşturmak geleneksel olarak uzmanlık ve önemli manuel çaba gerektiriyordu, ancak gelişmiş modeller artık araştırmacılara çökmeleri analiz etmede, yazılım davranışını anlamada ve kavram kanıtı kodu geliştirmede yardımcı olabiliyor.
Proje boyunca insan uzmanlığı hâlâ gerekliydi. Hacktron, operasyonu bağımsız olarak OpenAI’yi keşfedip kullanan otonom bir yapay zeka sistemi olarak tanımlamadı ve araştırmacılar soruşturmayı yönlendirmeye ve hangi eylemlerin uygun olduğuna karar vermeye devam etti.
Altta yatan libheif açığı, Hacktron araştırmasını yapmadan önce yukarı akışta zaten düzeltilmişti, ancak forumun kullandığı sunucu ortamı hâlâ eski bir kütüphaneyi barındırıyordu. Bu olay, yamalanmış bileşenler henüz her aşağı akış paketine veya dağıtılan sunucu görüntüsüne ulaşmadığında da güvenlik açığının nasıl erişilebilir kalabileceğini gösteriyor.
OpenAI, Hacktron’un raporunu aldıktan sonra güvenlik sorununu ele aldı. Araştırmacılara göre, şirket yaklaşık 14 saat sonra bir düzeltmeyi doğruladı ve ardından 1 Eylül’de ekibe 6.500 dolarlık hata ödülü verdi.