Hacktron AI Menggunakan Claude Opus 5 untuk Mengeksploitasi Kerentanan Keselamatan OpenAI

OpenAI, tiba-tiba di-"hack" oleh model Claude!

Sebuah pasukan keselamatan yang hanya terdiri daripada tiga orang berjaya menembusi akaun ChatGPT seorang pekerja OpenAI dalam masa kurang daripada 72 jam menggunakan Claude, dan mendapat akses ke gudang kod peribadi OpenAI.

Dan yang mereka belanjakan hanyalah bayaran langganan Opus 5 sebanyak beberapa puluh dolar.

Ini juga merupakan kesalahan sistem epik lainnya.

Perkara ini, terlalu hitam dan lucu.

Baru sahaja, sebuah pasukan permulaan keselamatan bernama Hacktron AI menyertai program bounty vulnereabiliti OpenAI.

Senjata utama yang mereka gunakan ialah Opus 5 terkini yang dikeluarkan oleh Anthropic.

Tidak ada yang menyangka kejayaan sebegitu mudah.

Pasukan tiga orang ini berjaya menguasai akaun ChatGPT dan Codex seorang pekerja dalaman OpenAI dengan memanfaatkan Opus 5 yang tidak memiliki perlindungan apa-apa!

Seterusnya, mereka berjalan masuk dengan percaya diri ke kawasan rahsia paling penting OpenAI—gudang monolitik dalaman yang mengandungi algoritma utama dan kod eksklusif.

Untuk membuktikan mereka pernah ke sini, pasukan melakukan tindakan yang mencabar.

Mereka menghantar PR yang tidak berbahaya ke dalam repositori kod dalaman menggunakan akaun Codex seorang pekerja OpenAI.

Selepas menerima laporan, pasukan keselamatan OpenAI segera memperbaiki lubang keamanan ini dalam masa 14 jam dan membayar bayaran ganjaran sebanyak USD 6,500 kepada pasukan tiga orang.

Setelah berita itu keluar, industri terkejut: "Gila! Ibu pejabat OpenAI telah diserang oleh pesaing!"

Seseorang mengajukan soalan mendalam: “Jika tiga orang biasa ditambah dengan langganan Claude boleh mencapai tahap ini, apa yang boleh dilakukan oleh hacker negara dengan AI?”

Serangan kilat yang kurang dari 72 jam ini, rantai serangan pasukan penuh dengan keindahan seni.

Mereka tidak bergantung pada kekuatan kasar, tetapi seperti pemburu yang paling sabar, secara perlahan merangkak masuk ke inti dari sudut paling tidak mencolok di luar.

Rantai serangan keseluruhan boleh dipecahkan menjadi 9 peringkat mematikan berikut.

Cari tumit Achilles (forum komuniti)

Pertahanan keselamatan OpenAI sangat kukuh, serangan langsung ke pelayan inti hampir tidak mungkin.

Namun, pasukan Hacktron menemukan satu terobosan: forum komuniti yang digunakan oleh OpenAI untuk komunikasi pengguna (community.openai.com).

Forum ini dibina berdasarkan perisian sumber terbuka Discourse dan membenarkan «log masuk tunggal menggunakan akaun OpenAI» (SSO).

Bom masa yang tersembunyi di kegelapan (lubang libheif)

Semasa menganalisis fungsi muat naik gambar di forum, mereka menemui satu kelemahan yang sangat jarang berlaku tetapi mematikan.

Biasanya, forum menggunakan FastImage untuk memeriksa gambar, tetapi ia tidak menyokong format gambar HEIF/HEIC yang sering digunakan oleh Apple. Oleh itu, sistem akan menghantar gambar-gambar ini kepada ImageMagick untuk diproses, yang kemudian memanggil decoder gambar libheif di peringkat bawah.

Yang lebih buruk lagi, sistem berdasarkan imej Debian 12 ini mempunyai versi libheif (1.19.7) yang mengandungi lubang keamanan tumpahan penyangga tumpukan.

Mengelakkan pengawal AI, membentuk senjata ilahi

Pasukan Hacktron tidak menulis kod eksploitasi sendiri, tetapi menggunakan Claude Opus 5.

Untuk mengelakkan pagar keselamatan Opus 5 yang "menolak menulis kod serangan untuk sasaran sebenar", mereka menggunakan trik: menyamarakan pelayan ujian mereka sebagai domain mesin sasaran CTF (rce.ee/ctf-forum).

Opus 5, yang menyangka sedang bermain permainan, mulai menyerang sepenuhnya.

Muat naik "gambar racun", ambil alih kuasa (RCE)

Mereka menghantar satu gambar HEIF jahat yang dirancang dengan teliti ke forum. Semasa gambar itu diuraikan di latar belakang, lubang kebocoran terpicu, dan pasukan Hacktron berjaya mendapatkan kebenaran eksekusi jarak jauh dalam persekitaran forum komuniti OpenAI.

Cacat pengesahan mematikan (SSO)

Pencurian forum hanyalah langkah pertama. Disebabkan kelemahan konfigurasi pengesahan pada OpenAI SSO, token identiti mana-mana pengguna yang pernah log masuk ke forum tersebut mungkin telah dicuri.

Mencuri akaun ChatGPT/Codex kakitangan dalaman

Melalui lubang keamanan SSO tersebut, pasukan berjaya mengambil alih akaun ChatGPT dan Codex bagi beberapa pekerja OpenAI.

Ikuti rantai itu, serang pusatnya

Pekerja OpenAI biasanya mengintegrasikan Codex secara mendalam dengan alat pejabat dan pembangunan dalaman seperti GitHub, Slack, Outlook, dll.

Menyerang repositori kod dalaman

Menggunakan akaun pekerja yang telah dicuri, pasukan Hacktron memasuki dengan mudah dan mendapat akses ke gudang utama OpenAI.

Tandakan, simpan jasa dan nama

Hantar PR #1186742, kemudian berhenti semua ujian dan hantar laporan lubang kekesan kepada OpenAI.

Dari satu gambar HEIC biasa hingga ke perpustakaan rahsia inti OpenAI, jalan yang kelihatan mustahil ini ternyata telah dibuka oleh Opus 5.

Jika lubang kelemahan ini sendiri cukup canggih, maka kelajuan evolusi AI yang dipertunjukkan dalam serangan ini membuat semua profesional keselamatan siber merasa takut.

Dua hari sebelum serangan berlaku, pada 23 Julai tahun ini, pasukan Hacktron sebenarnya telah menemui lubang kelemahan ini.

Pada masa itu, mereka menggunakan model generasi sebelumnya dari Anthropic, Claude Opus 4.8.

Dalam persekitaran pertahanan lalai yang menghidupkan ASLR, Opus 4.8 kelihatan agak kesukaran.

ASLR, atau Address Space Layout Randomization, adalah mekanisme keselamatan yang secara efektif meningkatkan perlindungan sistem dengan mengacak alamat kawasan memori utama semasa pemuatan proses.

Pasukan telah mencuba beberapa sesi, tetapi Opus 4.8 selalu gagal menghasilkan kod pemanfaatan yang stabil.

Titik balik berlaku pada malam 24 Julai — Anthropic secara rasmi melancarkan Claude Opus 5.

Tidak ada terjemahan yang diperlukan.

Keajaiban berlaku: Dalam 3 jam pertama, Opus 5 berjaya menulis kod serangan untuk arsitektur ARM64 bagi Mac tempatan.

Seterusnya, pasukan meminta ia untuk memindahkan kod ke persekitaran x86-64 yang digunakan oleh forum Discourse dan allocator memori jemalloc.

Hanya semalam selepas itu, pada pukul 6:00 pagi pada 25 Julai, Opus 5 mengesahkan keberkesanan RCE tempatan melalui muat naik gambar.

Pada pukul 10 pagi, agen Opus 5 yang ditetapkan sebagai sasaran putaran mandiri telah berjaya menembusi contoh awan dan membaca fail asas sistem.

Lubang yang tidak dapat ditemukan oleh model generasi sebelumnya, model baru telah diterjemahkan dan dimanfaatkan secara automatik pada hari berikutnya!

Fakta yang kejam ialah: peningkatan kemampuan model AI sedang menurunkan ambang serangan hacker secara eksponen.

Dalam ujian lanjutan yang meluas, pasukan bahkan mendapati bahawa dengan menggunakan model GPT-5.6 Sol yang diperbaharui, AI boleh secara automatik melaksanakan servis lengkap—termasuk kebocoran memori, peningkatan kuasa, pergerakan melintang, dan pengelakan pertahanan sedia ada—dalam keadaan buta ekstrem di mana ia tidak mengetahui apa-apa mengenai sistem sasaran, hanya mengetahui bahawa terdapat lubang kelemahan.

Kemampuan ini, dahulu hanya dimiliki oleh peringkat atas peringkat negara.

Apakah anda sangka hanya OpenAI yang beruntung? Salah besar.

Pasukan Hacktron menamakan penemuan ini sebagai "Pencurian HEIF".

Kekhelawatan kelemahan ini terletak pada fakta bahawa ia bukan masalah eksklusif OpenAI, tetapi penyakit ketergantungan sumber terbuka dalam infrastruktur internet keseluruhan.

Kami memuat naik gambar setiap hari di internet, dan pustaka sumber terbuka libheif yang digunakan untuk menganalisis gambar HEIC/HEIF/AVIF secara meluas terbenam dalam berbilion aplikasi kebangsaan.

Yang lebih memalukan lagi, pembaikan kod mengenai lubang keamanan ini sebenarnya telah dibaiki di cabang komuniti sumber terbuka tahun lalu, tetapi kerana tidak ditandai sebagai pampasan keselamatan (tidak diberi nombor CVE), ia menyebabkan berbilion-bilion sistem operasi dan perisian hilir tidak mengetahui perkara ini sama sekali!

Dalam siasatan berpanjangan selama beberapa bulan seterusnya, pasukan Hacktron menggunakan AI sebagai hacker automatik untuk menjalankan "pembersihan besar-besaran" terhadap raksasa internet.

Mereka menemui: Slack, Zoom, Meta, GitHub... raksasa teknologi yang terkenal ini, hampir semuanya gagal selama menerima muat naik gambar!

Sama ada Ruby on Rails, atau kerangka popular seperti Next.js, Astro, Gatsby dalam ekosistem Node.js, sekiranya menggunakan pustaka ini, hampir semuanya boleh dikendalikan secara sewenang-wenangnya.

Biaya pula jauh lebih mengejutkan rendahnya.

Pasukan Hacktron menyatakan bahawa keseluruhan projek penyelidikan "Pencurian HEIF" mengambil masa dua bulan dan merangkumi semua raksasa yang disebutkan di atas, sementara kos Token model besar yang mereka pergunakan berjumlah kurang daripada USD3,000!

Bagi setiap syarikat teknologi yang berbeza, AI hanya memerlukan satu hingga dua hari untuk menyesuaikan "gambar racun" menjadi senjata serangan yang disesuaikan berdasarkan persekitaran syarikat sasaran.

Selepas ribuan gambar ujian dilancarkan, prosesor gambar syarikat-syarikat besar berulang kali gagal, dan hanya Shopify yang menyedari ketidakteraturan itu—semua raksasa internet lainnya sama sekali tidak menyedari apa-apa!

Ini adalah gambaran ketidakstabilan internet moden: seperti yang diejek oleh kartun xkcd yang terkenal, semua infrastruktur digital moden berdiri goyah di atas perpustakaan sumber terbuka kecil yang dipelihara oleh seorang pengaturcara tidak dikenali dan penuh dengan kelemahan.

Selepas itu, mereka melaporkan kelemahan tersebut kepada Discourse dan OpenAI.

Kira-kira 14 jam selepas penghantaran laporan pertama, OpenAI memperbaiki masalah single sign-on (SSO). Discourse kemudian juga menyelesaikan pembaikannya.

Laporan lubang kelemahan yang hanya mendapat hadiah 6,500 dolar AS (kira-kira kurang daripada 50,000 yuan China) ini akan menjadi peristiwa peralihan dalam sejarah keselamatan siber.

Selama ini, industri perisian telah menikmati payung perlindungan terselubung — “keselamatan kerumitan”.

Dalam masa lalu, walaupun lubang dalam repositori sumber terbuka telah diumumkan dan kod sumber diletakkan di atas meja, peretas biasa tidak dapat memanfaatkannya.

Untuk mengubah satu lubang kelemahan ingatan teori menjadi senjata yang benar-benar boleh menyerang pelayan, diperlukan pengetahuan pakar yang sangat jarang, penglibatan masa yang besar, dan kejuruteraan songsang mendalam terhadap persekitaran sasaran.

Di masa lalu, senjata lubang keamanan tingkat tertinggi yang dikenal sebagai 0-Day memerlukan kos pengembangan yang sangat tinggi, dan biasanya hanya pasukan peringkat negara yang akan menghabiskan usaha untuk menyerang sasaran bernilai tinggi. Perusahaan biasa boleh mendapat keselamatan berdasarkan had kos serangan ini.

Namun, AI secara langsung merobek payung perlindungan ini.

Hacktron menulis di akhir laporan:

AI sedang menghapus perlindungan ini, mengubah keahlian peretas yang dahulu langka menjadi kekuatan pengiraan yang murah. Pekerjaan serangan yang dahulu memerlukan pasukan yang dibiayai dengan baik selama berbulan-bulan kini diringkaskan kepada beberapa hari sahaja, atau bahkan hanya beberapa jam.

Sekarang, sebarang tiga orang yang menguasai AI tingkat tinggi tanpa penghalang mampu menghasilkan kemampuan penetrasi keselamatan yang setara dengan pasukan negara.

Jika syarikat anda masih bergantung pada "perompak tidak menghiraukan kami" sebagai pertahanan, maka anda mungkin yang akan menjadi sasaran seterusnya dengan kod utama yang diserang.

Artikel ini berasal daripada akaun微信公众号 "XinZhiYuan" (ID: AI_era), penulis: Wahyu ASI