Gumagamit ang Hacktron AI ng Claude Opus 5 upang pagsamantalahan ang security vulnerability ng OpenAI

OpenAI, na-hack ng Claude model!

Isang seguridad na tim na mayroon lang 3 na miyembro ay nakapagbuwis ng account ng isang empleyado ng OpenAI sa ChatGPT sa loob ng higit sa 72 oras at nakakuha ng access sa pribadong code repository ng OpenAI.

At ang kanilang ginastos ay tanging ilang dosenyang dolyar para sa Opus 5 subscription.

Ito ay isa pa ring epikong kaso ng system vulnerability.

Ang gawaing ito, sobrang black comedy.

Kahit isang maikling panahon na ang nakalipas, isang startup na security team na tinatawag na Hacktron AI, ay sumali sa OpenAI’s bug bounty program.

Ang kanilang ginamit na huling sandata ay ang Opus 5 na bagong inilabas ng Anthropic.

Hindi inaasahan ng sinuman na ang tagumpay ay ganito kalaki.

Ang trio na ito ay nagamit ang walang pagkakabukod na Opus 5 upang matagumpay na makakuha ng kontrol sa mga account ng ChatGPT at Codex ng isang loob na empleyado ng OpenAI!

Agad nilang sinakop ang pinakadakilang lihim na lugar ng OpenAI—ang loob na monolitikong repository na naglalaman ng pangunahing algoritmo at propiyetaryong code.

Upang patunayan na sila ay nandito, ginawa ng grupo ang isang mapaghamong gawain.

Nilagay nila ang isang walang panganib na PR sa loob ng code repository gamit ang Codex account ng empleyado ng OpenAI.

Pagkatapos makatanggap ng ulat, nagkaron ng malaking takot ang security team ng OpenAI at agad nilang pinag-ayos ang vulnerability sa loob ng 14 na oras, at binigyan ng $6,500 ang small team ng tatlo.

Agad na naging banta sa industriya ang mensahe: "Kamangmangan! Ang base ng OpenAI ay nasakop ng kalaban!"

May nagtanong ng malalim na tanong: “Kung tatlo lang na karaniwang tao kasama ang isang Claude subscription ay kayang gawin ito, ano naman ang kayang gawin ng mga hacker ng pambansang puwersa na may AI?”

Ang hindi hihigit sa 72 oras na mabilis na kampanya, ang chain ng pag-atake ng team ay puno ng sining.

Hindi sila nagmumula sa paggamit ng lakas, kundi tulad ng pinakamapagpasiang manlalakbay, mula sa isang pinakamaliit na sulok sa palibot, sila ay unti-unting umabot sa core.

Ang buong serye ng pag-atake ay maaaring masuri bilang sumusunod na 9 malalaking bahagi.

Hanapin ang Achilles' Heel (komunidad ng forum)

Ang mga pagsisiguro sa kaligtasan ng OpenAI ay matibay na nakapagtatag, at ang direktaing pag-atake sa mga pangunahing server ay halos imposible.

Ngunit natuklasan ng team ng Hacktron ang isang pagkakataon: ang komunidad na forum na ginagamit ng OpenAI para sa pakikipag-ugnayan sa mga user (community.openai.com).

Batay sa open-source software na Discourse ang forum na ito at pinapayagan ang «single sign-on gamit ang OpenAI account» (SSO).

Nakatago sa dilim na oras na pambomba (libheif vulnerability)

Sa pag-analisa ng function ng pag-upload ng imahe sa forum, natuklasan nila ang isang napakakalimitangunit patay na kamalian.

Karaniwan, ginagamit ng forum ang FastImage para i-check ang mga larawan, ngunit hindi ito sumusuporta sa mga larawan sa format na HEIF/HEIC na karaniwan sa Apple. Kaya, isinusumite ng sistema ang mga larawang ito sa ImageMagick para sa pagproseso, na sumisigla sa ilalim na libheif image decoder.

Ang problema ay ang sistema na batay sa Debian 12 image ay may libheif version (1.19.7) na may vulnerability sa heap buffer overflow.

Bypassin ang AI security, gawaing sandata ng diyos

Hindi sinulat ng team na Hacktron ang code ng exploit nang manual, kundi ginamit nila ang Claude Opus 5.

Upang i-bypass ang seguridad ng Opus 5 na “hindi magpapagawa ng code para sa pag-atake sa totoong layunin,” naglalaro sila ng triko: isinama nila ang kanilang sariling test server bilang domain ng target sa CTF (Capture the Flag) (rce.ee/ctf-forum).

Ang Opus 5, na akalang naglalaro, ay nagsimulang maglaban nang buong lakas.

I-upload ang "poisoned image" upang kunin ang kontrol (RCE)

Ipinasa nila ang isang maingat na nilikhang HEIF na masasamang imahe sa forum. Sa sandaling pinasok ang imahe sa background, nag-trigger ang buffer overflow vulnerability, at nakamit ng grupo ng Hacktron ang remote code execution access sa environment ng OpenAI community forum.

Pambubulok na pag-verify (SSO)

Ang pag-hack sa forum ay only ang unang hakbang. Dahil sa kakulangan sa pag-configure ng pagpapatotoo sa OpenAI SSO, maaaring makuha ng mga hacker ang mga token ng pagkakakilanlan ng anumang user na nakalagay sa forum na iyon.

Huminga ng mga account ng loob na empleyado ng ChatGPT/Codex

Sa pamamagitan ng SSO vulnerability na ito, nakamit ng team ang pagkukontrol sa mga account ng ChatGPT at Codex ng ilang empleyado ng OpenAI.

Sundin ang udyok, pumunta sa sentro ng problema

Ang mga empleyado ng OpenAI ay karaniwang nagkakabisa ng Codex nang malalim sa mga panloob na tool para sa opisina at pag-unlad tulad ng GitHub, Slack, at Outlook.

Makapasok sa loob ng code repository

Gamit ang hinanakit na account ng empleyado, pumasok nang walang hadlang ang team ng Hacktron at nakakuha ng access sa core monorepo ng OpenAI.

Iwanan ang marka, itago ang karangalan at pangalan

Isumite ang PR #1186742, pagkatapos ay ipagpahinga ang lahat ng pagsubok at isumite ang report ng vulnerability sa OpenAI.

Mula sa isang karaniwang larawan na HEIC, hanggang sa loob na core na library ng mga lihim ng OpenAI, ang tila hindi kapani-paniwala na landas na ito ay naipasok ng Opus 5.

Kung sapat na ang kahusayan ng vulnerability mismo, ang bilis ng pag-unlad ng AI na ipinakita sa pag-atake ay nagdulot ng takot sa lahat ng mga propesyonal sa cybersecurity.

Dalawang araw bago ang pag-atake, noong July 23 ng taong ito, ang ekip ng Hacktron ay napatunayan na ang vulnerability ay umiiral.

Noon, ginagamit nila ang nakaraang henerasyon ng modelo ni Anthropic, ang Claude Opus 4.8.

Sa default na environment ng ASLR na naka-enable, ang Opus 4.8 ay medyo nahihirapan.

Ang ASLR, o Address Space Layout Randomization, ay isang mekanismo ng seguridad na epektibong pinapalakas ang pagprotekta ng sistema sa pamamagitan ng pag-randomize ng mga address ng mga mahalagang memorya region habang iniloload ang proseso.

Subukan ng team ang maraming sesyon, ngunit hindi kayang mag-generate ng matatag na exploit code ang Opus 4.8.

Ang turning point ay nangyari noong gabi ng Hulyo 24—inaabot na ng Anthropic ang Claude Opus 5.

Agad na nagbuwas ng bagong sesyon ng Opus 5 ang tim ng Hacktron pagkatapos makakuha ng bagong armas.

Nangyari ang isang kagandahan: Sa loob ng unang 3 oras, nakasulat na ng successful na attack code para sa ARM64 architecture ng lokal na Mac ang Opus 5.

Pagkatapos, hiningi ng koponan na i-port ang code sa x86-64 environment at jemalloc memory allocator na ginagamit ng Discourse forum.

Sa isang gabi lamang, sa 6:00 AM ng July 25, ang Opus 5 ay kumpirmado ang epektibong paggamit ng pag-upload ng imahe para sa lokal na RCE.

Sa 10:00 AM, ang Opus 5 agent na itinakda bilang autonomous loop target ay nakamit ang pagbuwis sa cloud instance at nabasa ang mga pondo sa ilalim ng sistema.

Ang mga butas na hindi makita ng nakaraang modelo, direkta na na-decode at na-automatic ang paggamit ng bagong modelo sa susunod na araw!

Isang malupit na katotohanan: ang pagtaas ng kakayahan ng AI model, ay patuloy na bumababa nang eksponensyal ang hadlang sa pag-atake ng mga hacker.

Sa mga mas malawak na pagsubok na sumunod, natuklasan ng koponan na gamit ang updated na GPT-5.6 Sol model, ang AI ay maaaring awtomatikong maisagawa ang buong proseso ng memory leak, privilege escalation, lateral movement, at bypass ng mga umiiral na depensa, kahit na walang alam tungkol sa target system—kung saan ang tanging nalalaman ay ang pagkakaroon ng vulnerability.

Ang kakayahang ito, sa nakaraan, ay nakalimita lamang sa mga pinakamataas na antas ng mga hacker sa pambansang lebel.

Isipin mo ba na lang si OpenAI ang may kasalanan? Mali ang iyong pagkakaalam.

Ang grupo ng Hacktron ay tinawag ang kanilang natuklasan bilang "The Great HEIF Heist".

Ang takot sa vulnerability na ito ay ang katotohanan na ito ay hindi eksklusibo sa OpenAI, kundi isang sakit ng open-source dependency sa buong infrastructure ng internet.

Bawat araw, nag-uupload tayo ng mga larawan sa internet, at ang open-source library na libheif, na ginagamit para i-parse ang mga larawan na HEIC/HEIF/AVIF, ay malalim na nakapaloob sa maraming mga aplikasyong pambansa.

Mas nakakatamad pa ang totoo ay ang pagbabago sa code tungkol sa vulnerability na ito, ay naka-fix na sa isang branch sa open-source community noong nakaraang taon, ngunit dahil hindi ito markahan bilang security patch (hindi nakatanggap ng CVE number), hindi nalalaman ng maraming downstream operating systems at software ang tungkol dito!

Sa mas mahabang pag-aaral na nagtrabaho sa mga buwan, ginamit ng team na Hacktron ang AI bilang automated hacker para sa isang "malaking paglilinis" laban sa mga malalaking kompanya sa internet.

Nakakita sila: Slack, Zoom, Meta, GitHub... ang mga kilalang malalaking teknolohiya na ito, kung tanggapin ang pag-upload ng imahe, halos lahat ay nasira!

Anumang framework tulad ng Ruby on Rails o ang mga popular na framework sa Node.js tulad ng Next.js, Astro, at Gatsby, kung gamitin ang library na ito, halos maaaring kontrolin nang walang hanggan.

Ang gastos ay mas nakakagulat na mababa.

Sinabi ng team ng Hacktron na ang buong proyektong pag-aaral na «HEIF Heist» ay tumagal ng dalawang buwan at sumasakop sa lahat ng mga pangunahin na kompanya na nabanggit. Ang kabuuang gastos sa Token ng malaking modelo ay mas mababa sa $3,000 lamang!

Para sa bawat iba’t ibang teknolohiya na kumpanya, kailangan lang ng AI ng isang hanggang dalawang araw upang ayusin ang mga “mga toxic na imahe” ayon sa kapaligiran ng target na kumpanya at gawin itong customized na armas.

Pagkatapos ilunsad ang libu-libong test images, direktang nagkakaroon ng paulit-ulit na pagkabigo sa mga image processor ng mga kumpanya, at ang tanging Shopify lamang ang nakaramdam ng anomali—ang lahat ng iba pang mga malalaking internet company ay walang alam!

Ito ang kumakatawan sa kahinaan ng modernong internet: tulad ng pinagtatawanang ipinakikita sa sikat na xkcd comic, ang lahat ng modernong digital infrastructure ay nakatayo nang mahina sa isang maliit na open-source library na pinapanatili ng isang hindi kilalang programmer at puno ng mga bug.

Pagkatapos, ipinaghayag nila ang butas sa Discourse at OpenAI.

Sa mga 14 na oras pagkatapos ng unang pagsumbong, ay inayos ng OpenAI ang problema sa single sign-on (SSO). Nakuha rin ng Discourse ang pag-aayos.

Ang report ng vulnerability na may gantimpala lamang ng $6,500 (halos hindi umabot sa 50,000 RMB) ay magiging isang mahalagang puntos sa kasaysayan ng cybersecurity.

Mahigit sa isang panahon, ang software industry ay nagkaroon ng isang nakatagong proteksyon — "security through complexity".

Noong nakaraan, kahit na ipinahayag ang isang butas sa isang open-source code repository at kahit na ang source code ay nakalagay sa mesa, hindi kayang gamitin ng karaniwang hacker.

Upang gawing tunay na “armas” ang isang teoretikal na vulnerability sa memorya, kailangan ng napakakakaunting espesyalisadong kaalaman, malaking pagkakataon sa oras, at malalim na reverse engineering sa target na kaligiran.

Noong nakaraan, ang mga pinakamataas na uri ng vulnerabilities na tinatawag na 0-Day ay may mataas na gastos sa pagbuo, at karaniwan lamang ang mga pambansang hacker unit ang may kakayahang mag-alloc ng oras at yaman para sa mga mataas na halagang layunin. Ang mga karaniwang negosyo ay nakakakuha ng seguridad dahil sa mataas na gastos na kinakailangan para sa ganitong uri ng pag-atake.

Ngunit sinira ng AI ang paraputong ito.

Isinulat ni Hacktron sa dulo ng ulat:

Ang AI ay nagtatanggal ng proteksyon na ito, na nagpapalit ng dating kakaunting ekspertisya sa pag-hack sa mura at kapasidad sa pagcompute. Ang mga pag-atake na dati ay nangangailangan ng isang may sapat na pondo na koponan na gumugol ng ilang buwan, ay ngayon ay na-compress sa ilang araw lamang, o kaya ay ilang oras lang.

Ngayon, anumang tatlong miyembro ng isang maliit na koponan na may kakayahan sa advanced AI na walang mga hadlang ay makapagpapakita ng kakayahan sa pagpapasok sa seguridad na katumbas ng isang pambansang koponan.

Kung ang iyong kumpanya ay patuloy na nakauunlad sa “hindi nagpapahalaga sa atin ang mga hacker” bilang pagsisilbing depensa, ikaw ang susunod na maaaring ma-attack ang iyong pangunahing codebase.

Ang artikulong ito ay galing sa WeChat public account na “New Intelligence Yuan” (ID: AI_era), may-akda: ASI Revelation