OpenAI, जिसे Claude मॉडल ने «हैक» कर दिया!
केवल तीन सदस्यों वाली एक सुरक्षा टीम ने Claude के साथ 72 घंटे से कम समय में एक OpenAI कर्मचारी के ChatGPT खाते पर हमला कर लिया और OpenAI के आंतरिक निजी कोड रिपॉजिटरी तक पहुँच प्राप्त कर ली।
और उनके द्वारा खर्च किया गया केवल ओपस 5 सब्सक्रिप्शन की कुछ दर्जन डॉलर की राशि है।
यह भी एक ऐतिहासिक सिस्टम दरार का मामला है।
मैजिक को मैजिक से हराएं, बहुत ड्रामाटिक है
यह बात बहुत काला मजाक है।
हाल ही में, एक नामित हैकट्रॉन एआई की एक स्टार्टअप सुरक्षा टीम ने OpenAI के बग बोनस प्रोग्राम में भाग लिया।
उनका उपयोग किया जा रहा अंतिम हथियार, Anthropic द्वारा हाल ही में जारित Opus 5 है।
किसी को भी नहीं लगा था कि सफलता इतनी आसान होगी।
इस तीन सदस्यीय टीम ने बिना किसी सुरक्षा के Opus 5 का उपयोग करके OpenAI के एक आंतरिक कर्मचारी के ChatGPT और Codex खातों पर नियंत्रण प्राप्त कर लिया!
इसके तुरंत बाद, वे OpenAI के सबसे महत्वपूर्ण गुप्त क्षेत्र में प्रवेश कर गए—जिसमें मूल एल्गोरिदम और निजी कोड के साथ आंतरिक एकल भंडार शामिल है।
अपनी यात्रा का प्रमाण देने के लिए, टीम ने एक चुनौतीपूर्ण कार्य किया।
उन्होंने OpenAI के कर्मचारी के Codex अकाउंट का उपयोग करके आंतरिक कोड लाइब्रेरी में एक निरपेक्ष PR जमा किया।
रिपोर्ट मिलने के बाद, OpenAI सुरक्षा टीम को पसीना आ गया, और उन्होंने 14 घंटे में इस दरार को तुरंत ठीक कर दिया और तीन सदस्यों की टीम को 6500 डॉलर का बोनस दिया।
समाचार आते ही उद्योग हिल गया: 'अविश्वसनीय! OpenAI का मुख्यालय दुश्मन ने घेर लिया!'
किसी ने आत्मा का प्रश्न पूछा: "अगर 3 साधारण लोग और एक Claude सब्सक्रिप्शन से इतना कर सकते हैं, तो राष्ट्रीय टीम के हैकर्स AI के साथ क्या कर सकते हैं?"
9 कदमों से घुसपैठ, एक धार से घातक
इस 72 घंटे से कम की बिजली की तरह की अभियान में, टीम का हमला शृंखला कलात्मक थी।
वे बलपूर्वक नहीं, बल्कि सबसे धैर्यवान शिकारी की तरह, बाहरी कोने से शुरू करते हुए, एक-एक करके केंद्र तक पहुँचे।
पूरा हमला श्रृंखला को निम्न 9 घातक चरणों में विभाजित किया जा सकता है।
अक्षय की निशानी (समुदाय फ़ोरम) ढूंढें
OpenAI की सुरक्षा प्रणाली अटूट है, और कोर सर्वर पर सीधा हमला लगभग असंभव है।
लेकिन Hacktron टीम ने एक ब्रेकथ्रू खोजा: OpenAI द्वारा उपयोगकर्ता संवाद के लिए उपयोग किया जाने वाला समुदाय फोरम (community.openai.com)।
यह फोरम ओपन सोर्स सॉफ्टवेयर Discourse पर आधारित है और 「OpenAI खाते के साथ सिंगल साइन-ऑन」(SSO) की अनुमति देता है।
छिपी हुई टाइम बॉम्ब (libheif वैक्यूम)
विश्लेषण फ़ोरम के चित्र अपलोड फ़ंक्शन के दौरान, उन्होंने एक अत्यंत दुर्लभ लेकिन घातक दोष की खोज की।
आमतौर पर, फोरम FastImage का उपयोग छवियों की जांच के लिए करता है, लेकिन यह ऐप्पल के द्वारा आमतौर पर उपयोग किए जाने वाले HEIF/HEIC फॉर्मेट की छवियों का समर्थन नहीं करता है। इसलिए, सिस्टम इन छवियों को ImageMagick को सौंप देता है, जो नीचे के libheif इमेज डिकोडर को कॉल करता है।
दुर्भाग्य से, Debian 12 इमेज पर आधारित सिस्टम में स्थापित libheif संस्करण (1.19.7) में एक हीप बफर ओवरफ्लो दरार है।
AI हर्म को धोखा दें, दिव्य हथियार तैयार करें
Hacktron टीम ने अपने खुद के हैकिंग कोड को नहीं लिखा, बल्कि Claude Opus 5 का उपयोग किया।
Opus 5 के "वास्तविक लक्ष्यों के लिए हमला कोड लिखने से इनकार" के सुरक्षा गार्ड को चकमा देने के लिए, उन्होंने एक चाल चली: अपने परीक्षण सर्वर को CTF (कैप्चर द फ्लैग) के टारगेट डोमेन (rce.ee/ctf-forum) के रूप में छिपाया।
Opus 5 ने सोचा कि वह एक गेम खेल रहा है, और अब पूरी ताकत से आगे बढ़ गया।
"Poison image" अपलोड करें, नियंत्रण हासिल करें (RCE)
उन्होंने फोरम पर एक धूर्ततापूर्ण HEIF दुर्भावनापूर्ण छवि अपलोड की। जैसे ही छवि बैकग्राउंड में पार्स हुई, ओवरफ्लो दुर्घटना ट्रिगर हुई, और Hacktron टीम सफलतापूर्वक OpenAI समुदाय फोरम के वातावरण में रिमोट कोड निष्पादन की अनुमति प्राप्त कर गई।
मारक प्रमाणीकरण दोष (SSO)
फोरम का हैक होना केवल पहला कदम है। चूंकि OpenAI SSO (सिंगल साइन-ऑन) में प्रमाणीकरण विन्यास की कमी है, इसलिए इस फोरम पर किसी भी उपयोगकर्ता का प्रमाणीकरण टोकन चोरी हो सकता है।
Internal employee ChatGPT/Codex account hijacking
ऊपर वर्णित SSO दुर्भावनापूर्ण उपयोग के माध्यम से, टीम ने कई OpenAI कर्मचारियों के ChatGPT और Codex खातों पर कब्जा कर लिया।
Follow the vine to the dragon's lair
OpenAI के कर्मचारी आमतौर पर Codex को GitHub, Slack, Outlook आदि आंतरिक कार्यालय और विकास उपकरणों के साथ गहराई से जोड़ते हैं।
इंटरनल कोड रिपॉजिटरी में घुसपैठ
हैकट्रॉन टीम ने अपहरण किए गए कर्मचारी खाते का उपयोग करके ओपनएआई के कोर मोनोलिथिक रिपॉजिटरी तक पहुंच प्राप्त की।
निशान छोड़ें, गुप्त रूप से कार्य करें
PR #1186742 जमा करें, फिर सभी परीक्षण बंद कर दें और OpenAI को वल्नरेबिलिटी रिपोर्ट भेजें।
एक साधारण HEIC छवि से लेकर OpenAI के आंतरिक गुप्त डेटाबेस तक, यह असंभव लगने वाला मार्ग अचानक Opus 5 द्वारा खोल दिया गया।
श्वास रोक देने वाला विकास: Opus 4.8 से Opus 5 तक
अगर इस दरार का स्वयं बहुत ही सूक्ष्म होना, तो इस हमले में दिखाई देने वाली एआई की विकास दर, सभी साइबर सुरक्षा पेशेवरों को डरा देती है।
हमले के दो दिन पहले, इस वर्ष 23 जुलाई को, हैकट्रॉन टीम ने वास्तव में इस दुर्बलता का पता लगा लिया था।
उस समय, वे Anthropic के पिछली पीढ़ी के मॉडल Claude Opus 4.8 का उपयोग कर रहे थे।
ASLR के डिफ़ॉल्ट रक्षात्मक वातावरण में, Opus 4.8 को कठिनाई हो रही है।
ASLR, यानी Address Space Layout Randomization (प्रक्रिया स्थान लेआउट रैंडमाइजेशन), एक सुरक्षा तंत्र है जो प्रक्रिया लोड होने पर महत्वपूर्ण मेमोरी क्षेत्रों के पते को रैंडम तरीके से व्यवस्थित करके सिस्टम की सुरक्षा को प्रभावी ढंग से बढ़ाता है।
टीम ने कई सेशन का प्रयास किया, लेकिन Opus 4.8 हमेशा स्थिर दुरुपयोग कोड उत्पन्न नहीं कर पाया।
7 जुलाई की रात को मोड़ आया—Anthropic ने आधिकारिक रूप से Claude Opus 5 को लॉन्च किया।
हैकट्रॉन टीम ने नया हथियार प्राप्त करते ही एक नया Opus 5 सेशन शुरू किया।
अद्भुत बात हुई: पहले 3 घंटों में, Opus 5 ने स्थानीय Mac के ARM64 आर्किटेक्चर के लिए हमला कोड लिख लिया।
इसके बाद, टीम ने इसे Discourse फोरम द्वारा उपयोग किए जाने वाले x86-64 वातावरण और jemalloc मेमोरी अलोकेटर पर पोर्ट करने का अनुरोध किया।
एक रात के बाद, 25 जुलाई को सुबह 6 बजे, Opus 5 ने चित्र अपलोड के माध्यम से स्थानीय RCE की प्रामाणिकता की पुष्टि कर दी।
10 बजे तक, स्वतंत्र चक्र लक्ष्य के रूप में सेट किए गए Opus 5 एजेंट ने क्लाउड इंस्टेंस को सफलतापूर्वक तोड़ दिया और सिस्टम के नीचले स्तर की फाइलों को पढ़ लिया।
नए मॉडल ने अगले दिन ही पुराने मॉडल द्वारा नहीं पाए गए दरारों को तुरंत क्रैक कर दिया और उनका स्वचालित उपयोग किया!
एक क्रूर सच यह है: AI मॉडल क्षमताओं में छलांग, हैकिंग हमलों की सीमा को घातीय रूप से कम कर रही है।
बाद के व्यापक परीक्षणों में, टीम ने यह भी पाया कि अपडेटेड GPT-5.6 Sol मॉडल का उपयोग करते समय, AI एकदम अंधे परिस्थिति में भी स्वयं ही मेमोरी लीक, प्रिविलेज एस्केलेशन, लैटरल मूवमेंट और मौजूदा रक्षा को बाईपास करने तक का समग्र प्रक्रिया पूरा कर सकता है, जहाँ लक्ष्य सिस्टम के बारे में कुछ भी नहीं पता होता, केवल यह ज्ञात होता है कि कोई दुर्बलता मौजूद है।
इस क्षमता को पहले केवल शीर्ष राष्ट्रीय हैकर्स ही प्राप्त थी।
HEIF का बड़ा डकैती: पूरा इंटरनेट नंगा है?
क्या आपको लगता है कि केवल OpenAI को ही परेशानी हो रही है? बिल्कुल गलत।
हैकट्रॉन टीम ने इस खोज को "HEIF हिरासत" का नाम दिया।
इस वैधता की भयानकता यह है कि यह केवल OpenAI की समस्या नहीं है, बल्कि पूरे इंटरनेट इंफ्रास्ट्रक्चर की ओपन सोर्स निर्भरता की बीमारी है।
हम रोजाना इंटरनेट पर चित्र अपलोड कर रहे हैं, और libheif नामक यह ओपन सोर्स लाइब्रेरी, जो HEIC/HEIF/AVIF छवियों को पार्स करती है, असंख्य राष्ट्रीय स्तर के ऐप्स में गहराई से शामिल है।
अधिक असहज बात यह है कि इस दुर्भावनापूर्ण बिंदु के लिए कोड में सुधार पहले ही पिछले वर्ष ओपन सोर्स समुदाय में ब्रांच के रूप में किया जा चुका था, लेकिन चूंकि इसे सुरक्षा पैच के रूप में चिह्नित नहीं किया गया था (CVE नंबर आवंटित नहीं किया गया था), इसलिए अनेक डाउनस्ट्रीम ऑपरेटिंग सिस्टम और सॉफ्टवेयर को इसके बारे में पता ही नहीं चला!
अगले कई महीनों तक की जांच में, हैकट्रॉन टीम ने एआई का उपयोग स्वचालित हैकर के रूप में किया और इंटरनेट दिग्गजों पर एक "बड़ी सफाई" की।
उन्होंने पाया: Slack, Zoom, Meta, GitHub... इन प्रसिद्ध टेक गिगंट्स में से लगभग सभी, जब भी चित्र अपलोड की अनुमति देते हैं, वे सभी संक्रमित हो जाते हैं!
Ruby on Rails या Node.js इकोसिस्टम में Next.js, Astro, Gatsby जैसे लोकप्रिय फ्रेमवर्क्स के बावजूद, जब भी इस लाइब्रेरी का उपयोग किया जाता है, तो इसे लगभग किसी भी तरह से नियंत्रित किया जा सकता है।
The cost is even more astonishingly low.
हैकट्रॉन टीम ने बताया कि पूरा 「HEIF बड़ी डकैती」 अनुसंधान प्रोजेक्ट दो महीने का रहा और इसमें उपरोक्त सभी विशालकाय कंपनियाँ शामिल थीं। और उनके द्वारा खर्च किए गए मॉडल टोकन की कुल लागत 3000 डॉलर से कम थी!
प्रत्येक अलग प्रौद्योगिकी कंपनी के लिए, AI को लक्ष्य कंपनी के वातावरण के अनुसार "विषैली छवियों" को अनुकूलित हमला हथियार में बदलने में केवल एक से दो दिन लगते हैं।
हजारों परीक्षण छवियाँ फेंकने के बाद, ज्यादातर कंपनियों के इमेज प्रोसेसर्स बार-बार क्रैश हो गए, और Shopify के अलावा सभी इंटरनेट दिग्गजों को कोई संदेह नहीं हुआ!
यह आधुनिक इंटरनेट की कमजोरी का संक्षिप्त रूप है: जैसा कि प्रसिद्ध xkcd कार्टून ने मजाक उड़ाया है, सभी आधुनिक डिजिटल बुनियादी ढांचे, किसी अज्ञात प्रोग्रामर द्वारा रखरखाव किए जा रहे, दोषपूर्ण छोटे ओपन सोर्स लाइब्रेरी पर अस्थिर रूप से निर्भर हैं।
सुरक्षा का सामान्य परिवर्तन: "जटिलता की गोपनीयता" का युग समाप्त
उन्होंने बाद में इस दुर्भावना की रिपोर्ट Discourse और OpenAI को की।
पहली बार रिपोर्ट करने के लगभग 14 घंटे बाद, OpenAI ने सिंगल साइन-ऑन (SSO) समस्या को ठीक कर दिया। डिस्कोर्स ने भी बाद में ठीक कर दिया।
केवल 6,500 डॉलर (लगभग 50,000 रुपये से कम) के बोनस के साथ इस वल्नरेबिलिटी रिपोर्ट को साइबर सुरक्षा के इतिहास में एक मील का पत्थर बनने का भाग्य मिला है।
लंबे समय तक, सॉफ्टवेयर उद्योग को एक अदृश्य सुरक्षा छत मिली थी — 'जटिलता सुरक्षा'।
पिछले समय में, भले ही किसी ओपन सोर्स कोड लाइब्रेरी के वल्नरेबिलिटी को खुलासा कर दिया गया हो और सोर्स कोड मेज पर रखा गया हो, सामान्य हैकर इसका उपयोग नहीं कर सकते थे।
एक सिद्धांतगत मेमोरी क्षति दुर्बलता को वास्तविक सर्वर पर हमला करने वाला «हथियार» बनाने के लिए अत्यंत दुर्लभ विशेषज्ञता, बड़ी मात्रा में समय लगाने, और लक्ष्य परिवेश के लिए गहन रिवर्स इंजीनियरिंग की आवश्यकता होती है।
पिछले समय में, 0-Day कहलाने वाले इस शीर्ष दरार हथियार के विकास की लागत बहुत अधिक थी, और आमतौर पर केवल राष्ट्रीय स्तर के हैकर बल ही उच्च मूल्यवान लक्ष्यों के लिए इस पर मेहनत करते थे। सामान्य उद्यम इस हमले की लागत की सीमा के कारण सुरक्षित रह सकते थे।
लेकिन, AI ने इस छतरी को खुद ही फाड़ दिया।
हैकट्रॉन ने रिपोर्ट के अंत में लिखा:
AI इस सुरक्षा को समाप्त कर रहा है, जिसने पहले दुर्लभ हैकिंग विशेषज्ञता को सस्ती कंप्यूटिंग पावर में बदल दिया है। जिस आक्रमण को पहले एक अच्छी तरह से वित्तपोषित टीम को कई महीनों लगते थे, उसे अब केवल कुछ दिनों, या यहां तक कि कुछ घंटों में पूरा किया जा सकता है।
आज, कोई भी तीन सदस्यों की टीम, जो बिना किसी सीमा के उन्नत AI का उपयोग करती है, राष्ट्रीय स्तरीय सुरक्षा निवेश क्षमता के बराबर विस्फोट कर सकती है।
अगर आपकी कंपनी अभी भी "हैकर हमें नज़रअंदाज़ कर देंगे" पर निर्भर है, तो अगला जिसका कोर कोडबेस हैक हो जाएगा, वह आप हो सकते हैं।
यह लेख वेइची ग्रुप "न्यूज़ियाओयुआन" (ID: AI_era) से आया है, लेखक: ASI उपदेश