Hacktron AI Menggunakan Claude Opus 5 untuk Mengeksploitasi Kerentanan Keamanan OpenAI

OpenAI, ternyata di-"hack" oleh model Claude!

Sebuah tim keamanan yang hanya terdiri dari 3 orang berhasil membobol akun ChatGPT seorang karyawan OpenAI dalam waktu kurang dari 72 jam menggunakan Claude, dan memperoleh akses ke repositori kode pribadi OpenAI.

Dan yang mereka habiskan hanyalah biaya langganan Opus 5 sebesar beberapa puluh dolar.

Ini lagi-lagi merupakan kasus kerentanan sistem epik.

Hal ini juga terlalu hitam dan lucu.

Baru saja, sebuah tim startup keamanan bernama Hacktron AI berpartisipasi dalam program bounty kerentanan OpenAI.

Senjata utama yang mereka gunakan adalah Opus 5 yang baru dirilis oleh Anthropic.

Tidak ada yang menyangka bahwa kesuksesan ternyata begitu mudah.

Tim beranggotakan tiga orang ini berhasil mengambil alih akun ChatGPT dan Codex dari seorang karyawan internal OpenAI dengan memanfaatkan Opus 5 yang tanpa perlindungan!

Selanjutnya, mereka dengan percaya diri memasuki area rahasia paling inti OpenAI—repo monolitik internal yang berisi algoritma inti dan kode propietaris.

Untuk membuktikan bahwa mereka pernah ke sini, tim melakukan sesuatu yang provokatif.

Mereka menggunakan akun Codex dari karyawan OpenAI untuk mengirimkan PR yang tidak berbahaya ke repositori kode internal.

Setelah menerima laporan, tim keamanan OpenAI langsung berkeringat dingin, memperbaiki kerentanan ini dalam waktu 14 jam, dan membayar hadiah sebesar 6.500 dolar AS kepada tim kecil yang terdiri dari tiga orang.

Setelah pesan itu muncul, industri terkejut: "Gila! Markas OpenAI ternyata diserang oleh pesaing!"

Seseorang mengajukan pertanyaan mendalam: "Jika tiga orang biasa ditambah satu langganan Claude bisa mencapai tingkat ini, apa yang bisa dilakukan hacker tim nasional dengan AI?"

Serangan kilat yang berlangsung kurang dari 72 jam ini, rantai serangan tim penuh dengan keindahan seni.

Mereka tidak mengandalkan kekuatan kasar, tetapi seperti pemburu paling sabar, secara perlahan merambah dari sudut paling tak terduga di luar perimeter hingga mencapai intinya.

Seluruh rantai serangan dapat diuraikan menjadi 9 tahap mematikan berikut.

Cari Achilles' Heel (komunitas forum)

Pertahanan keamanan OpenAI sangat kuat, sehingga serangan langsung terhadap server inti hampir tidak mungkin dilakukan.

Namun, tim Hacktron menemukan titik tembus: forum komunitas yang digunakan OpenAI untuk komunikasi pengguna (community.openai.com).

Forum ini dibangun menggunakan perangkat lunak sumber terbuka Discourse dan memungkinkan «masuk tunggal dengan akun OpenAI» (SSO).

Bom waktu tersembunyi di kegelapan (kerentanan libheif)

Saat menganalisis fitur unggah gambar di forum, mereka menemukan sebuah kelemahan yang sangat jarang ditemukan namun mematikan.

Biasanya, forum menggunakan FastImage untuk memeriksa gambar, tetapi tidak mendukung format gambar HEIF/HEIC yang umum digunakan oleh Apple. Oleh karena itu, sistem akan mengalihkan gambar-gambar ini ke ImageMagick untuk diproses, yang selanjutnya memanggil libheif sebagai decoder gambar di tingkat bawah.

Yang lebih berbahaya, sistem berbasis gambar Debian 12 ini memiliki versi libheif (1.19.7) yang mengandung kerentanan buffer overflow heap.

Mengelabui perlindungan AI, membentuk senjata legendaris

Tim Hacktron tidak menulis kode eksploitasi secara manual, tetapi menggunakan Claude Opus 5.

Untuk melewati perlindungan keamanan Opus 5 yang menolak menulis kode serangan untuk target nyata, mereka memainkan trik: menyamar sebagai domain target CTF (rce.ee/ctf-forum) dengan server pengujian mereka sendiri.

Opus 5, yang mengira sedang bermain game, mulai menyerang habis-habisan.

Unggah gambar "beracun", ambil alih kendali (RCE)

Mereka mengunggah gambar HEIF jahat yang dirancang secara cermat ke forum. Saat gambar tersebut diproses di latar belakang, kerentanan buffer overflow terpicu, memungkinkan tim Hacktron berhasil mendapatkan akses eksekusi kode jarak jauh di lingkungan forum komunitas OpenAI.

Kerentanan otentikasi mematikan (SSO)

Peretasan forum hanyalah langkah pertama. Karena adanya kelemahan konfigurasi otentikasi pada OpenAI SSO, token identitas pengguna mana pun yang pernah login ke forum tersebut dapat dicuri.

Mengambil alih akun ChatGPT/Codex karyawan internal

Melalui kerentanan SSO tersebut, tim berhasil mengambil alih akun ChatGPT dan Codex dari beberapa karyawan OpenAI.

Ikuti jejaknya, serang langsung markas musuh

Karyawan OpenAI biasanya mengintegrasikan Codex secara mendalam dengan alat internal perkantoran dan pengembangan seperti GitHub, Slack, Outlook, dll.

Menyerbu repositori kode internal

Dengan memanfaatkan akun karyawan yang disusupi, tim Hacktron masuk secara langsung dan mendapatkan akses ke repositori inti OpenAI.

Tandai saja, simpan jasa dan nama dengan diam-diam

Submit PR #1186742, then halt all testing and submit a vulnerability report to OpenAI.

Dari sebuah gambar HEIC biasa hingga ke perpustakaan rahasia inti OpenAI, jalur yang tampaknya tak masuk akal ini ternyata berhasil dibuka oleh Opus 5.

Jika kerentanan ini sendiri cukup canggih, maka kecepatan evolusi AI yang ditunjukkan dalam serangan ini membuat semua profesional keamanan siber merasa takut.

Dua hari sebelum serangan terjadi, yaitu pada 23 Juli tahun ini, tim Hacktron sebenarnya telah menemukan kerentanan ini.

Pada saat itu, mereka menggunakan model generasi sebelumnya dari Anthropic, Claude Opus 4.8.

Dalam lingkungan pertahanan default dengan ASLR diaktifkan, Opus 4.8 terasa agak kesulitan.

ASLR, atau Address Space Layout Randomization, adalah mekanisme keamanan yang secara efektif meningkatkan perlindungan sistem dengan mengacak alamat area memori kunci saat proses dimuat.

Tim mencoba beberapa sesi, tetapi Opus 4.8 selalu gagal menghasilkan kode eksploitasi yang stabil.

Titik balik terjadi pada malam 24 Juli—Anthropic secara resmi meluncurkan Claude Opus 5.

Tim Hacktron yang mendapatkan senjata baru langsung membuka sesi Opus 5 baru.

Keajaiban terjadi: dalam 3 jam pertama, Opus 5 berhasil menulis kode serangan untuk arsitektur ARM64 pada Mac lokal.

Selanjutnya, tim meminta untuk memindahkan kode tersebut ke lingkungan x86-64 yang digunakan oleh forum Discourse dan allocator memori jemalloc.

Hanya setelah satu malam, pada pukul 06:00 pagi tanggal 25 Juli, Opus 5 mengonfirmasi keberhasilan RCE lokal melalui unggahan gambar.

Pada pukul 10 pagi, agen Opus 5 yang diatur sebagai tujuan siklus mandiri telah berhasil menembus contoh cloud dan membaca file dasar sistem.

Lubang yang tidak dapat ditemukan oleh model lama langsung dipecahkan dan dimanfaatkan secara otomatis pada hari berikutnya peluncuran model baru!

Fakta yang kejam adalah: peningkatan kemampuan model AI sedang menurunkan ambang serangan peretas secara eksponensial.

Dalam pengujian luas selanjutnya, tim bahkan menemukan bahwa dengan menggunakan model GPT-5.6 Sol yang diperbarui, AI bahkan dapat secara otomatis menyelesaikan seluruh proses—termasuk kebocoran memori, peningkatan hak akses, pergerakan lateral, dan penghindaran pertahanan yang ada—dalam kondisi ekstrem di mana sistem target sama sekali tidak diketahui, hanya diketahui adanya kerentanan.

Kemampuan ini, di masa lalu, hanya dimiliki oleh peretas tingkat nasional teratas.

Apakah Anda mengira hanya OpenAI yang beruntung? Salah besar.

Tim Hacktron menamakan temuan ini sebagai "Perampasan HEIF".

Kekhawatiran besar dari kerentanan ini adalah bahwa itu sama sekali bukan masalah eksklusif OpenAI, melainkan penyakit ketergantungan sumber terbuka pada arsitektur internet secara keseluruhan.

Kami mengunggah gambar setiap hari di internet, dan perpustakaan open-source libheif yang digunakan untuk memproses gambar HEIC/HEIF/AVIF secara luas tertanam dalam banyak aplikasi tingkat nasional.

Yang lebih membingungkan lagi, perbaikan kode terkait kerentanan ini sebenarnya sudah dilakukan di cabang komunitas open source tahun lalu, tetapi karena tidak diberi label patch keamanan (tidak memiliki nomor CVE), membuat puluhan sistem operasi dan perangkat lunak turunan sama sekali tidak mengetahuinya!

Dalam penyelidikan berbulan-bulan berikutnya, tim Hacktron menggunakan AI sebagai peretas otomatis untuk melakukan "pembersihan besar-besaran" terhadap raksasa internet.

Mereka menemukan: Slack, Zoom, Meta, GitHub... raksasa teknologi terkenal ini, selama menerima unggahan gambar, hampir semuanya terkena dampaknya!

Baik Ruby on Rails maupun kerangka populer di ekosistem Node.js seperti Next.js, Astro, Gatsby, selama memanggil pustaka ini, hampir dapat dikendalikan sepenuhnya.

Biaya bahkan lebih mengejutkan rendahnya.

Tim Hacktron menyatakan bahwa seluruh proyek penelitian "Perampokan HEIF" memakan waktu dua bulan dan mencakup semua raksasa tersebut. Biaya token model besar yang mereka habiskan total kurang dari $3.000!

Untuk setiap perusahaan teknologi yang berbeda, AI hanya membutuhkan satu hingga dua hari untuk secara otomatis mengadaptasi "gambar beracun" menjadi senjata serangan yang disesuaikan dengan lingkungan perusahaan target.

Setelah ribuan gambar uji dilemparkan, prosesor gambar dari berbagai perusahaan langsung mengalami kegagalan berulang-ulang; hanya Shopify yang menyadari adanya anomali, sementara semua raksasa internet lainnya sama sekali tidak menyadarinya!

Ini adalah gambaran kerentanan internet modern: seperti yang diejek dalam komik xkcd yang terkenal, seluruh infrastruktur digital modern berdiri goyah di atas sebuah pustaka open source kecil yang penuh celah dan dipelihara oleh seorang programmer tak dikenal.

Selanjutnya, mereka melaporkan kerentanan tersebut ke Discourse dan OpenAI.

Sekitar 14 jam setelah laporan pertama diajukan, OpenAI memperbaiki masalah single sign-on (SSO). Discourse juga telah menyelesaikan perbaikan tersebut.

Laporan kerentanan yang hanya mendapat hadiah 6.500 dolar AS (sekitar kurang dari 50.000 yuan Tiongkok) ini akan menjadi peristiwa penanda dalam sejarah keamanan siber.

Selama ini, industri perangkat lunak telah menikmati payung perlindungan tak terlihat — «keamanan kompleksitas».

Di masa lalu, bahkan jika kerentanan di repositori kode sumber terbuka diungkapkan, bahkan dengan kode sumbernya terpampang di atas meja, peretas biasa tidak dapat memanfaatkannya.

Untuk mengubah kerentanan kerusakan memori teoretis menjadi senjata nyata yang mampu menyerang server, diperlukan keahlian yang sangat langka, banyak waktu, serta rekayasa terbalik mendalam terhadap lingkungan target.

Di masa lalu, senjata kerentanan tingkat tertinggi yang disebut 0-Day memiliki biaya pengembangan yang sangat tinggi, biasanya hanya pasukan peretas tingkat negara yang bersusah payah menggunakannya untuk target bernilai tinggi. Perusahaan biasa dapat memperoleh keamanan berkat ambang biaya serangan semacam ini.

Namun, AI secara langsung merobek payung pelindung ini.

Hacktron menulis di akhir laporan:

AI sedang menghilangkan perlindungan ini, mengubah keahlian peretas yang dulu langka menjadi kekuatan komputasi yang murah. Pekerjaan serangan yang dulu memerlukan tim dengan dana besar selama berbulan-bulan kini dipersingkat menjadi hanya beberapa hari, bahkan hanya beberapa jam.

Saat ini, tim kecil beranggotakan tiga orang yang menguasai AI tingkat lanjut tanpa batasan dapat menghasilkan kemampuan penetrasi keamanan setara dengan tim nasional.

Jika perusahaan Anda masih mengandalkan "peretas tidak menganggap kami penting" sebagai pertahanan, maka Anda mungkin yang berikutnya mengalami serangan terhadap repositori kode inti.

Artikel ini berasal dari akun WeChat "Sinzhiyuan" (ID: AI_era), penulis: ASI Revelation