OpenAI، تم اختراقها من قبل نموذج Claude!
فريق أمني مكون من 3 أشخاص فقط، باستخدام Claude، تمكن من اختراق حساب ChatGPT لموظف في OpenAI خلال أقل من 72 ساعة، وحصل على صلاحيات الوصول إلى مستودع الكود الخاص الداخلي لـ OpenAI.
وما أنفقوه هو مجرد رسوم اشتراك Opus 5 التي تبلغ بضعة عشر دولارات.
هذا أيضًا حالة ثغرة نظام تاريخية.
استخدم السحر لمحاربة السحر، هذا مبالغ فيه جدًا
هذا الأمر، مبالغة سوداء جدًا.
قبل وقت قصير، شاركت فرقة أمنية ناشئة تُدعى Hacktron AI في برنامج مكافآت الثغرات الأمنية الخاص بـ OpenAI.
السلاح النهائي الذي استخدموه هو Opus 5 الذي أصدرته Anthropic مؤخرًا.
لم يتوقع أحد أن النجاح سيكون بهذه السهولة.
فريق مكون من ثلاثة أشخاص، استخدموا Opus 5 بدون أي حواجز، ونجحوا في السيطرة على حسابات ChatGPT و Codex لموظف داخلي في OpenAI!
ثم دخلوا بشكل واثق إلى منطقة السرية الأكثر أهمية في OpenAI — مستودع موحد يحتوي على الخوارزميات الأساسية والكود الخاص.
لإثبات زيارتهم، قام الفريق بفعل استفزازي.
قاموا بإرسال طلب سحب غير ضار إلى مخزن الكود الداخلي باستخدام حساب Codex لموظف في OpenAI.
بعد تلقي التقرير، تعرّض فريق أمان OpenAI لصدمة، وأصلحوا الثغرة في غضون 14 ساعة، ودفعوا مكافأة قدرها 6500 دولار للفريق المكون من ثلاثة أشخاص.
بمجرد صدور الرسالة، اهتز الصناعة: "غير معقول! تم تدمير مقر OpenAI من قبل منافس!"
شخص ما طرح سؤالاً جوهرياً: "إذا كان يمكن لثلاثة أشخاص عاديين بالإضافة إلى اشتراك في Claude تحقيق هذا المستوى، فماذا يمكن لقراصنة الدولة أن يفعلوه باستخدام الذكاء الاصطناعي؟"
9 خطوات للنفاذ، ضربة قاتلة واحدة
هذه الحرب الصاعقة التي استمرت أقل من 72 ساعة، كانت سلسلة الهجوم الخاصة بالفريق مليئة بالفنية.
لم يعتمدوًا على القوة الغاشمة، بل مثل أشد الصيادين صبرًا، تسللوا تدريجيًا من زاوية صغيرة وغير ملحوظة في الحافة حتى وصلوا إلى المركز.
يمكن تفكيك سلسلة الهجوم الكاملة إلى 9 مراحل قاتلة.
ابحث عن عقبة أخيل (منتدى المجتمع)
الدفاعات الأمنية لـ OpenAI متينة للغاية، ويalmost مستحيل الهجوم المباشر على الخوادم الأساسية.
لكن فريق Hacktron اكتشف فتحة: منتدى المجتمع الذي تستخدمه OpenAI للتواصل مع المستخدمين (community.openai.com).
تم بناء هذا المنتدى باستخدام برنامج مفتوح المصدر Discourse، ويوفر ميزة "تسجيل الدخول الوحيد باستخدام حساب OpenAI" (SSO).
القنبلة الزمنية المخفية (ثغرة libheif)
عند تحليل وظيفة رفع الصور في المنتدى، اكتشفوا عيبًا بالغ الندرة ولكنه قاتل.
عادةً، يستخدم المنتدى FastImage للتحقق من الصور، لكنه لا يدعم صيغ الصور HEIF/HEIC الشائعة لدى Apple. لذلك، يتم تحويل هذه الصور إلى ImageMagick للمعالجة، والتي تستدعي بدورها مُفكّك الصور libheif الأساسي.
المشكلة أن النظام المستند إلى صورة Debian 12 يحتوي على إصدار libheif (1.19.7) الذي يحتوي على ثغرة تجاوز مخزن التخزين المؤقت.
تجاوز حواجز الذكاء الاصطناعي، وصقل السلاح الأسطوري
لم يكتب فريق Hacktron استغلالات الكود يدويًا، بل استخدموا Claude Opus 5.
لتجاوز حماية Opus 5 التي تمنع كتابة كود هجومي لأهداف حقيقية، لجأوا إلى حيلة: حيث قاموا بخداع خوادمهم التجريبية لتصبح تبدو وكأنها نطاقات أهداف في مسابقة CTF (rce.ee/ctf-forum).
يبدأ Opus 5 بإطلاق ناره الكاملة، ظانًا أنه يلعب لعبة.
رفع صورة "سامة" للسيطرة على النظام (RCE)
قاموا بتحميل صورة HEIF خبيثة مُصممة بدقة إلى المنتدى. وفور تحليل الصورة في الخلفية، تم تفعيل ثغرة التدفق، مما مكن فريق Hacktron من الحصول على صلاحيات تنفيذ الكود عن بُعد في بيئة منتدى OpenAI.
عيوب مميتة في المصادقة (SSO)
اختراق المنتدى كان مجرد الخطوة الأولى. نظرًا لوجود عيب في تكوين المصادقة في OpenAI SSO، فقد يتم سرقة رموز الهوية لأي مستخدم سجل الدخول إلى المنتدى.
اختراق حسابات موظفين داخليين لـ ChatGPT/Codex
من خلال ثغرة SSO المذكورة أعلاه، نجح الفريق في الاستيلاء على حسابات عدة موظفين في OpenAI على ChatGPT وCodex.
اتبع الخيط حتى تصل إلى القلب
يقوم موظفو OpenAI عادةً بربط Codex بشكل عميق مع أدوات العمل والتطوير الداخلية مثل GitHub وSlack وOutlook.
الدخول إلى مستودع الكود الداخلي
باستخدام حسابات الموظفين المخترقة، تمكّن فريق Hacktron من الدخول مباشرة والحصول على صلاحيات الوصول إلى مستودع OpenAI الأساسي.
اترك علامة، واختبئ خلف الإنجازات
قم بتسليم PR #1186742، ثم أوقف جميع الاختبارات وأرسل تقرير الثغرة إلى OpenAI.
من صورة HEIC عادية إلى قاعدة بيانات الأسرار الداخلية الأساسية لـ OpenAI، تمكّن Opus 5 من فتح هذا المسار الذي يبدو مستحيلاً.
تطور مُخنق: من Opus 4.8 إلى Opus 5
إذا كان الثغرة نفسها دقيقة بما يكفي، فإن سرعة تطور الذكاء الاصطناعي المعروضة في هذا الهجوم أثارت الخوف لدى جميع محترفي أمن الشبكات.
قبل يومين من وقوع الهجوم، أي في 23 يوليو من هذا العام، اكتشف فريق Hacktron بالفعل هذا الثغرة.
في ذلك الوقت، كانوا يستخدمون النموذج السابق لـ Anthropic، Claude Opus 4.8.
في بيئة الدفاع الافتراضية مع تفعيل ASLR، يواجه Opus 4.8 صعوبات.
ASLR، أي تشفير توزيع مساحة العنوان، هي آلية أمان تعزز الحماية النظامية عن طريق ترتيب عشوائي لعناوين مناطق الذاكرة الأساسية عند تحميل العملية.
حاول الفريق عدة جلسات، لكن Opus 4.8 لم يستطع أبدًا توليد كود استغلال مستقر.
حدثت النقطة التحولية في ليلة 24 يوليو — أطلقت Anthropic رسميًا Claude Opus 5.
فريق Hacktron، بعد حصوله على السلاح الجديد، فتح جلسة Opus 5 جديدة.
حدث معجزة: خلال الساعات الثلاث الأولى، نجح Opus 5 في كتابة كود هجوم مخصص لمعمارية ARM64 الخاصة بجهاز Mac المحلي.
بعد ذلك، طلب الفريق نقل الكود إلى بيئة x86-64 المستخدمة في منتدى Discourse ومحرّك تخصيص الذاكرة jemalloc.
بعد ليلة واحدة فقط، في الساعة 6:00 صباح يوم 25 يوليو، تأكد Opus 5 من فعالية تنفيذ RCE محليًا عبر رفع الصور.
بحلول الساعة 10 صباحًا، نجح الوكيل الذكي Opus 5 المُعيَّن كهدف للدورة الذاتية في اختراق مثيل السحابة وقراءة ملفات النظام الأساسية.
الثغرات التي لم能量ت النماذج القديمة، تم فك تشفيرها واستغلالها تلقائيًا في اليوم التالي لإطلاق النموذج الجديد!
حقيقة قاسية واحدة هي أن تحسن قدرات نماذج الذكاء الاصطناعي يقلل من عتبة الهجمات الإلكترونية بشكل أسّي.
في الاختبارات الواسعة اللاحقة، اكتشف الفريق حتى أن استخدام نموذج GPT-5.6 Sol المحدث يسمح للذكاء الاصطناعي بأداء خدمة متكاملة تلقائيًا — بما في ذلك تسرب الذاكرة، ورفع الصلاحيات، والحركة الأفقية، وتجاوز الدفاعات الحالية — حتى في حالات القصور الشديد حيث لا يعلم النظام شيئًا عن الهدف، بل فقط أن هناك ثغرة.
هذه القدرة، كانت في الماضي حكرًا على أبرز المتسللين الوطنيين.
قضية HEIF: هل الإنترنت بأكمله يعري نفسه؟
هل تعتقد أن OpenAI فقط هي التي تعاني؟ خطأ فادح.
سمّى فريق Hacktron هذا الاكتشاف "سرقة HEIF".
الخوف من هذا الثغرة هو أنها ليست مشكلة حصرية لـ OpenAI، بل هي مرض الاعتمادات المفتوحة المصدر في البنية التحتية للإنترنت بأكملها.
نحن نقوم بتحميل الصور يوميًا على الإنترنت، ويتواجد مكتبة libheif المفتوحة المصدر المستخدمة لتحليل صور HEIC/HEIF/AVIF مدمجة بعمق في عدد لا يحصى من التطبيقات الوطنية.
الأكثر إثارة للدهشة أن تعديلات الكود المتعلقة بهذه الثغرة تم إصلاحها بالفعل في فرع من مجتمع مفتوح المصدر العام الماضي، لكن نظرًا لعدم وضع علامة تصحيح أمني عليها (لم يُخصص لها رقم CVE)، لم تعرف عشرات الأنظمة والبرامج التابعة عنها بهذا الأمر على الإطلاق!
خلال التحقيق الذي استمر لعدة أشهر، استخدم فريق Hacktron الذكاء الاصطناعي كقراصنة تلقائيين لتنفيذ "حملة تطهير" ضد شركات الإنترنت الكبرى.
لقد اكتشفوا: Slack و Zoom و Meta و GitHub... هذه العمالقة التكنولوجية الشهيرة، كلها تقريبًا عرضة للخطر بمجرد قبولها لتحميل الصور!
سواء كان Ruby on Rails أو إطارات شائعة مثل Next.js و Astro و Gatsby في بيئة Node.js، فبمجرد استدعاء هذه المكتبة، يمكن التحكم فيها بشكل عشوائي تقريبًا.
The cost is even more astonishingly low.
أشار فريق Hacktron إلى أن مشروع البحث الكامل "سرقة HEIF" استغرق شهرين، وشمل جميع العملاقة المذكورة أعلاه، بينما بلغ إجمالي تكلفة وحدات النموذج الكبيرة التي أنفقوها أقل من 3000 دولار!
بالنسبة لكل شركة تكنولوجية مختلفة، يمكن للذكاء الاصطناعي أن يحوّل "الصور السامة" إلى أسلحة هجومية مخصصة في غضون يوم أو يومين فقط، بناءً على بيئة الشركة المستهدفة.
بعد إرسال آلاف الصور الاختبارية، تسبب ذلك في تعطل متكرر لمعالجات الصور لدى الشركات الكبرى، حيث لاحظت شركة واحدة فقط، Shopify، وجود شذوذ، بينما لم تدرك جميع الشركات الكبرى الأخرى أي شيء!
هذا مثال مصغّر على ضعف الإنترنت الحديث: كما سخرت منها الرسوم الكاريكاتورية الشهيرة xkcd، فإن جميع البنية التحتية الرقمية الحديثة تقوم على حافة السقوط، مبنية على مكتبة مفتوحة المصدر صغيرة ومليئة بالثغرات يُحافظ عليها مبرمج غير معروف.
تحول أمني جذري: نهاية عصر السرية من خلال التعقيد
ثم أبلغوا Discourse وOpenAI عن هذا الثغرة.
بعد حوالي 14 ساعة من تقديم التقرير الأولي، أصلحت OpenAI مشكلة المصادقة الموحدة SSO. وبعد ذلك، أكملت Discourse الإصلاح.
ستُعدّ تقرير الثغرة الذي حصل على مكافأة قدرها 6500 دولار أمريكي (ما يعادل أقل من 50 ألف يوان صيني) نقطة تحول في تاريخ أمن الشبكات.
لطالما استفاد صناعة البرمجيات من مظلة حماية خفية تُعرف بـ "الأمان من التعقيد".
في الماضي، حتى لو تم الكشف عن ثغرة في مكتبة كود مفتوح المصدر، وحتى لو كان الكود المصدر مكشوفًا على الطاولة، لم يكن يمكن للمخترقين العاديين استغلالها.
لتحويل ثغرة تلف الذاكرة النظرية إلى "سلاح" قادر على اختراق الخوادم، يتطلب ذلك معرفة متخصصة نادرة جدًا، واستثمارًا كبيرًا في الوقت، وهندسة عكسية متعمقة للبيئة المستهدفة.
في الماضي، كانت هذه الأسلحة الثغرات من الدرجة الصفر (0-Day) تتطلب تكلفة تطوير عالية جدًا، وكان يُستخدمها عادةً فرق قراصنة حكومية فقط لاستهداف أهداف ذات قيمة عالية. كانت الشركات العادية تستفيد من عتبة تكلفة هذه الهجمات للحصول على الأمان.
لكن الذكاء الاصطناعي قام بتمزيق هذه المظلة الواقية بيديه.
كتب هاكترون في نهاية التقرير:
الذكاء الاصطناعي يلغي هذا الحماية، حيث يحول الخبرة القرصانية التي كانت نادرة سابقًا إلى قوة حوسبة رخيصة. لقد تم تقليل العمل الهجومي الذي كان يتطلب فريقًا ممولًا جيدًا ليستغرق عدة أشهر لإكماله، إلى بضعة أيام فقط، أو حتى بضع ساعات.
اليوم، يمكن لأي فريق مكون من ثلاثة أشخاص يمتلكون ذكاءً اصطناعيًا متقدمًا بدون قيود أن يُظهروا قدرات اختراق أمني توازي قدرات الفرق الوطنية.
إذا كانت شركتك لا تزال تعتمد على "القراصنة لا يهتمون بنا" كدفاع، فقد تكون أنت التالي الذي يتم اختراق مكتبة الكود الأساسية الخاصة به.
هذا المقال من حساب WeChat الرسمي "سينزي يوان" (ID: AI_era)، الكاتب: ASI启示录