Hacktron AI использует Claude Opus 5 для эксплуатации уязвимости безопасности OpenAI

OpenAI, его居然 было «взломано» моделью Claude!

Группа из всего трех человек с помощью Claude взломала аккаунт ChatGPT сотрудника OpenAI менее чем за 72 часа и получила доступ к внутреннему приватному репозиторию кода OpenAI.

А то, что они потратили, — это всего лишь несколько десятков долларов на подписку Opus 5.

Это еще один эпический случай уязвимости системы.

Это тоже черный юмор.

Вот недавно стартап-команда по безопасности под названием Hacktron AI приняла участие в программе баг-баунти OpenAI.

Их окончательным оружием является последняя версия Opus 5, выпущенная Anthropic.

Никто не ожидал, что успех будет таким легким.

Эта тройка использовала совершенно незащищенный Opus 5, чтобы успешно получить контроль над аккаунтами ChatGPT и Codex сотрудника OpenAI!

Затем они спокойно вошли в самую секретную зону OpenAI — внутренний монолитный репозиторий, содержащий ключевые алгоритмы и проприетарный код.

Чтобы доказать, что они были здесь, команда совершила провокационный поступок.

Они использовали аккаунт Codex сотрудника OpenAI, чтобы внести безвредный PR во внутренний кодовый репозиторий.

После получения сообщения команда безопасности OpenAI в панике устранила уязвимость за 14 часов и выплатила награду в размере 6500 долларов США команде из трех человек.

Как только новость стала известна, отрасль пришла в шок: «Невероятно! Штаб-квартира OpenAI была захвачена конкурентом!»

Кто-то задал насущный вопрос: «Если три обычных человека плюс подписка на Claude могут добиться такого результата, что могут сделать государственные хакеры с помощью ИИ?»

Эта молниеносная кампания, продлившаяся менее 72 часов, была выполнена командой с высокой художественной выразительностью.

Они не полагались на силу, а, подобно самым терпеливым охотникам, постепенно проникли в ядро, начав с самого незаметного угла снаружи.

Вся цепочка атаки может быть разбита на следующие 9 смертельных этапов.

Ищите пятку Ахилла (форум сообщества)

Защита OpenAI надежна, как крепость; прямая атака на основные серверы практически невозможна.

Однако команда Hacktron обнаружила пробел: форум сообщества, используемый OpenAI для общения с пользователями (community.openai.com).

Этот форум построен на основе открытого программного обеспечения Discourse и поддерживает «вход с помощью аккаунта OpenAI» (SSO).

Скрытая бомба с таймером (уязвимость libheif)

При анализе функции загрузки изображений на форуме они обнаружили крайне редкий, но критический дефект.

Обычно форум использует FastImage для проверки изображений, но он не поддерживает форматы HEIF/HEIC, распространённые у Apple. Поэтому система передаёт эти изображения на обработку в ImageMagick, который вызывает базовый декодер изображений libheif.

Критически важно, что система на основе образа Debian 12 содержит уязвимость переполнения буфера в стеке в версии libheif (1.19.7).

Обойти ИИ-барьеры, закалить божественное оружие

Команда Hacktron не писала эксплойты вручную, а использовала Claude Opus 5.

Чтобы обойти безопасный барьер Opus 5 «не писать эксплойты для реальных целей», они воспользовались уловкой: представили свой тестовый сервер как домен цели CTF (rce.ee/ctf-forum).

Opus 5, думавший, что играет в игру, начал раскрывать весь свой потенциал.

Загрузите «ядовитое изображение», чтобы захватить контроль (RCE)

Они загрузили на форум тщательно сконструированное вредоносное HEIF-изображение. В момент, когда изображение было обработано в фоновом режиме, произошло переполнение буфера, и команда Hacktron успешно получила удалённый доступ к выполнению кода в среде форума OpenAI.

Смертельный дефект аутентификации (SSO)

Взлом форума — это только первый шаг. Из-за уязвимости в конфигурации аутентификации OpenAI SSO (единый вход) токены идентификации всех пользователей, которые когда-либо входили на этот форум, могут быть похищены.

Взлом аккаунтов сотрудников внутри компании ChatGPT/Codex

С помощью вышеуказанной уязвимости SSO команда успешно взяла под контроль аккаунты ChatGPT и Codex нескольких сотрудников OpenAI.

Идите по следу и разгромьте врага в его логове

Сотрудники OpenAI обычно тесно интегрируют Codex с внутренними офисными и разработческими инструментами, такими как GitHub, Slack, Outlook.

Взлом внутреннего кодового репозитория

С помощью скомпрометированных учетных записей сотрудников команда Hacktron получила доступ к основному репозиторию OpenAI.

Оставьте след, скрывая свои заслуги

Подайте PR #1186742, затем прекратите все тесты и отправьте отчет об уязвимости в OpenAI.

От обычного изображения в формате HEIC до внутренней ключевой базы данных OpenAI — этот, казалось бы, невероятный путь был успешно проложен Opus 5.

Если сама уязвимость была достаточно изощренной, то скорость эволюции ИИ, продемонстрированная в этой атаке, вызвала страх у всех специалистов по кибербезопасности.

За два дня до атаки, 23 июля этого года, команда Hacktron уже обнаружила эту уязвимость.

В то время они использовали предыдущую версию модели Anthropic — Claude Opus 4.8.

В стандартной среде защиты с включенным ASLR Opus 4.8 работает не очень эффективно.

ASLR, то есть Address Space Layout Randomization (случайное распределение адресного пространства), — это механизм безопасности, который эффективно усиливает защиту системы, случайным образом располагая ключевые области памяти при загрузке процесса.

Команда попробовала несколько сессий, но Opus 4.8 так и не смог сгенерировать стабильный эксплойт.

Поворотный момент произошел вечером 24 июля — Anthropic официально выпустила Claude Opus 5.

Команда Hacktron, получив новое оружие, сразу же запустила новую сессию Opus 5.

Чудо произошло: за первые три часа Opus 5 успешно написал эксплойт для ARM64-архитектуры локального Mac.

Затем команда попросила её перенести код в среду x86-64, используемую форумом Discourse, и на аллокатор памяти jemalloc.

Только через одну ночь, в 6:00 25 июля, Opus 5 подтвердил эффективность локального RCE через загрузку изображений.

К 10:00 утра автономный агент Opus 5, установленный как цель циклического выполнения, успешно взломал облачный экземпляр и получил доступ к базовым файлам системы.

Уязвимости, которые старая модель не могла обнаружить, были сразу расшифрованы и автоматически эксплуатированы на следующий день после выпуска новой модели!

Жестокая правда заключается в том, что резкий рост возможностей ИИ-моделей экспоненциально снижает барьеры для хакерских атак.

В ходе последующего широкого тестирования команда обнаружила, что с использованием обновленной модели GPT-5.6 Sol ИИ может автоматически выполнять полный цикл действий — утечку памяти, повышение привилегий, перемещение поперек сети и обход существующих систем защиты — даже в крайнем случае полной слепоты, когда ему ничего не известно о целевой системе, кроме наличия уязвимости.

Эта способность ранее принадлежала только лучшим государственным хакерам.

Вы думаете, что только OpenAI попала в беду? Это огромная ошибка.

Команда Hacktron назвала это открытие «Ограблением HEIF».

Ужас этой уязвимости в том, что она не является исключительной проблемой OpenAI, а представляет собой заболевание открытых зависимостей всей интернет-инфраструктуры.

Мы ежедневно загружаем изображения в интернет, а открытая библиотека libheif для анализа изображений HEIC/HEIF/AVIF широко внедрена в множество приложений с миллионами пользователей.

Еще более удивительно то, что исправление кода этой уязвимости уже было выполнено в прошлом году в открытых сообществах, но поскольку оно не было помечено как безопасный патч (не был присвоен CVE-номер), множество операционных систем и программного обеспечения downstream просто не знали об этом!

В последующих месяцах расследования команда Hacktron использовала ИИ в качестве автоматизированного хакера для проведения «масштабной чистки» интернет-гигантов.

Они обнаружили: Slack, Zoom, Meta, GitHub… Эти гиганты технологической индустрии, чьи имена известны всем, практически все оказались уязвимы, если только принимают загрузку изображений!

Независимо от того, используется ли Ruby on Rails или такие популярные фреймворки, как Next.js, Astro, Gatsby в экосистеме Node.js, если вызывается эта библиотека, её можно практически полностью контролировать.

Стоимость еще более поразительно низка.

Команда Hacktron сообщила, что весь исследовательский проект «Ограбление HEIF» занял два месяца и охватил все вышеупомянутые гиганты. При этом общие затраты на токены крупных моделей составили менее 3000 долларов США!

Для каждой различной технологической компании ИИ只需要一到两天时间，就能根据目标公司的环境，自动把「毒图片」改编成定制化的攻击武器。

После отправки тысяч тестовых изображений графические процессоры крупных компаний начали постоянно сбиваться, и только Shopify заметил аномалию — все остальные интернет-гиганты даже не подозревали об этом!

Это и есть проявление уязвимости современного интернета: как иронизирует известная комикс-панель xkcd, вся современная цифровая инфраструктура хрупко опирается на небольшой открытый проект, поддерживаемый неизвестным программистом и полный уязвимостей.

Затем они сообщили об этой уязвимости в Discourse и OpenAI.

Примерно через 14 часов после первоначального отчета OpenAI устранила проблему с единой системой входа (SSO). После этого Discourse также завершила исправление.

Этот отчет об уязвимости, за который была назначена награда всего в 6500 долларов США (около 50 000 юаней), станет переломным событием в истории кибербезопасности.

Долгое время индустрия программного обеспечения пользовалась невидимой защитой — «безопасностью сложности».

В прошлом, даже если уязвимость в открытом исходном коде была обнародована и сам исходный код был перед глазами, обычные хакеры не могли ею воспользоваться.

Превращение теоретической уязвимости повреждения памяти в реальное «оружие» для взлома сервера требует исключительно редких профессиональных знаний, значительных временных затрат и глубокого реверс-инжиниринга целевой среды.

В прошлом такие топовые уязвимости, известные как 0-Day, требовали огромных затрат на разработку, и только государственные хакерские подразделения тратили усилия на них для достижения высокоценных целей. Обычные компании могли полагаться на этот барьер стоимости атаки для обеспечения безопасности.

Однако ИИ亲手撕碎了 этот зонтик защиты.

Hacktron написал в конце отчета:

ИИ устраняет эту защиту, превращая когда-то дефицитные хакерские навыки в дешевую вычислительную мощность. Атаки, которые раньше требовали от хорошо финансируемой команды нескольких месяцев работы, теперь сокращаются до нескольких дней или даже нескольких часов.

Сегодня любая тройка, владеющая продвинутым ИИ без ограничений, может проявить уровень безопасности и проникновения, сопоставимый с национальной командой.

Если ваша компания все еще полагается на «хакеры не обращают на нас внимания» как на защиту, то следующей, чья основная кодовая база будет взломана, может оказаться именно вы.

Эта статья взята из официального аккаунта WeChat «Синьчжиюань» (ID: AI_era), автор: АСИ, Откровение