Hacktron AI, OpenAI'nin güvenlik zafiyetini istismar etmek için Claude Opus 5'i kullanıyor

OpenAI, Claude modeli tarafından "kara" edildi!

Claude kullanarak yalnızca üç kişiden oluşan bir güvenlik ekibi, 72 saatten kısa bir sürede bir OpenAI çalışanının ChatGPT hesabını ele geçirdi ve OpenAI'nin dahili özel kod deposuna erişim sağladı.

Ancak harcadıkları, sadece birkaç on dolarlık Opus 5 abonelik ücretiydi.

Bu da tarihe geçecek bir sistem açıkları davası.

Bu olay, çok siyah mizah.

Daha önce, Hacktron AI adlı bir başlangıç güvenlik ekibi, OpenAI'nin hata ödül programına katıldı.

Kulladıkları nihai silah, Anthropic'ın en son yayınladığı Opus 5'tir.

Kimse başarıyun bu kadar kolay olacağını düşünmemişti.

Bu üçlü ekip, korumasız Opus 5'i kullanarak OpenAI'nin bir iç çalışanının ChatGPT ve Codex hesaplarını ele geçirdi!

Daha sonra, temel algoritmaları ve özel kodları içeren iç tek depoya güvenle girdiler.

Geçişini kanıtlamak için takım, provokatif bir eylem gerçekleştirdi.

OpenAI çalışanlarının Codex hesabını kullanarak iç kod deposuna zararsız bir PR gönderdiler.

Rapor alındıktan sonra OpenAI güvenlik ekibi terledi ve 14 saat içinde bu açıklığı acilen düzeltti, üç kişilik ekip için 6.500 dolar ödül ödedi.

Haber duyulunca sektörde şok dalgası dolaştı: "Absürt! OpenAI'nin merkezi rakip tarafından bastırıldı!"

Birisi şu derin soruyu sordu: "Eğer 3 sıradan insan ve bir Claude aboneliği bu kadarını yapabiliyorsa, ulusal ekip hacker'ları AI ile ne yapabilir?"

72 saatten kısa bu çabuk saldırıda, ekip saldırı zincirini sanatsal bir şekilde oluşturdu.

Onlar kuvvetle kırmak yerine, en sabırlı avcılar gibi, dışarıdan en önemsiz köşeden başlayarak adım adım çekirdeğe ulaştılar.

Tüm saldırı zinciri, aşağıdaki 9 ölümcül aşamaya ayrılabilir.

Achilles' Heel'ini bulun (topluluk forumu)

OpenAI'nin güvenlik önlemleri sağlamdır, doğrudan ana sunuculara saldırı neredeyse imkânsızdır.

Ancak Hacktron ekibi, OpenAI'nin kullanıcılarla iletişim kurmak için kullandığı topluluk forumunu (community.openai.com) keşfetti.

Bu forum, açık kaynaklı yazılım olan Discourse üzerine kurulmuştur ve "OpenAI hesabıyla tek oturum açma" (SSO) özelliğini sunar.

Gizli bir zamanlı bomba (libheif açığı)

Forumun resim yükleme özelliğini analiz ederken, son derece nadir ancak ölümcül bir hata tespit ettiler.

Genellikle forum, resimleri kontrol etmek için FastImage kullanır, ancak Apple'ın yaygın olarak kullandığı HEIF/HEIC formatı resimlerini desteklemez. Bu nedenle sistem, bu resimleri ImageMagick'e iletir ve alt seviyede libheif resim çözücü çağrılır.

Debian 12 görüntüsünden kurulan bu sistemdeki libheif sürümü (1.19.7), yığın arabellek taşması zafiyetine sahiptir.

AI korumalarını kandırarak efsanevi silah üretin

Hacktron ekibi, kendi kodlarını yazmak yerine Claude Opus 5'i kullandı.

Opus 5'in "gerçek hedefler için saldırı kodu yazma" güvenlik korumasını atlamak için, kendi test sunucularını CTF (bayrak ele geçirme) yarışmasının hedef domaini (rce.ee/ctf-forum) olarak gizlediler.

Oyun oynuyormuş gibi hisseden Opus 5, tam güçle harekete geçti.

"Zehirli resim" yükleyin, kontrolü ele geçirin (RCE)

Foruma dikkatle hazırlanmış bir HEIF zararlı görüntüsü yüklediler. Görüntü arka planda ayrıştırılırken tampon aşımı zafiyeti tetiklendi ve Hacktron ekibi, OpenAI topluluk forumu ortamında uzaktan kod yürütme izni elde etti.

Ölümcül kimlik doğrulama hatası (SSO)

Forumun ele geçirilmesi sadece ilk adımdır. OpenAI SSO'nun kimlik doğrulama yapılandırmasındaki bir hata nedeniyle, bu foruma giriş yapan herhangi bir kullanıcının kimlik belirteci çalınmış olabilir.

İç çalışanların ChatGPT/Codex hesaplarını ele geçirmek

Yukarıdaki SSO açıklaması aracılığıyla ekip, birden fazla OpenAI çalışanının ChatGPT ve Codex hesaplarını ele geçirdi.

İpucundan yola çıkarak, doğrudan hedefe ulaşın

OpenAI çalışanları, Codex'i genellikle GitHub, Slack, Outlook gibi dahili ofis ve geliştirme araçlarıyla derin şekilde entegre eder.

İç kod deposuna girin

Kıskıvrak çalışan hesapları kullanarak Hacktron ekibi, OpenAI'nin çekirdek tekil deposuna erişim elde etti.

İşareti bırak, başarıyı gizle

PR #1186742'i gönderin, ardından tüm testleri durdurun ve OpenAI'ye güvenlik açıkları raporu gönderin.

Bir normal HEIC resimden OpenAI'nin dahili gizli kütüphanesine kadar olan, görünüşte inanılmaz bu yol, Opus 5 tarafından başarıyla açıldı.

Bu açıklın kendisi yeterince inceysa, bu saldırıda gösterilen AI gelişim hızı, tüm siber güvenlik uzmanlarını korkutuyor.

Saldırının iki gün öncesinde, bu yıl 23 Temmuz'da, Hacktron ekibi aslında bu zafiyeti keşfetmişti.

O zamanlar, Anthropic'in önceki nesil modeli Claude Opus 4.8 kullanıyorlardı.

ASLR'in varsayılan savunma ortamında Opus 4.8 biraz zorlanıyor.

ASLR, yani Address Space Layout Randomization (Adres Alanı Düzeni Rastgeleleştirme), işlem yüklenirken kritik bellek bölgelerinin adreslerini rastgeleleştirerek sistemin korumasını etkili bir şekilde artıran bir güvenlik mekanizmasıdır.

Takım birden fazla oturum denedi, Opus 4.8始终无法生成稳定的漏洞利用代码.

7 Haziran akşamı bir dönüm noktası oldu—Anthropic, resmen Claude Opus 5'i yayınladı.

Yeni silahı elde eden Hacktron ekibi, hemen yeni bir Opus 5 oturumu açtı.

Mucize oldu: İlk 3 saat içinde Opus 5, yerel Mac için ARM64 mimarisi üzerine saldırı kodu yazmayı başardı.

Daha sonra, ekip, kodu Discourse forumunun kullandığı x86-64 ortamına ve jemalloc bellek atayıcısına taşımayı talep etti.

Sadece bir gece geçtikten sonra, 25 Temmuz sabahı saat 06:00'da Opus 5, resim yükleme yoluyla yerel RCE'nin geçerliliğini doğruladı.

Saat 10:00 itibarıyla, kendi döngü hedefi olarak ayarlanan Opus 5 ajanı, bulut örneğini başarıyla aşmış ve sistem alt katman dosyalarını okumuştur.

Eski modelin bulamadığı açıklar, yeni modelin yayınlanmasının bir gün sonra doğrudan çözüldü ve otomatikleştirildi!

Korkunç bir gerçek: AI modellerinin yeteneklerindeki sıçrama, hacker saldırılarının engelini üssel olarak düşürüyor.

Sonraki kapsamlı testlerde, ekip, GPT-5.6 Sol modelinin güncellenmiş sürümü kullanıldığında, AI'nın hedef sistemi hakkında hiçbir bilgiye sahip olmaksızın yalnızca bir zafiyetin varlığını bildiği aşırı bir durumda, bellek sızıntısı, yetki yükseltme, yatay hareket ve mevcut savunmaları atlatma gibi işlemleri otomatik olarak tamamlayabileceğini keşfetti.

Bu yetenek, geçmişte yalnızca en üst düzey ulusal hackerlara aitti.

Sadece OpenAI'nin kötü şanslı olduğunu mu düşünüyorsunuz? Büyük hata.

Hacktron ekibi bu keşfi "HEIF Büyük Soygunu" olarak adlandırdı.

Bu açıklığın korkutucu yanı, OpenAI'a özgü bir sorun olmaması ve tüm internet altyapısının açık kaynak bağımlılık hastalığı olmasıdır.

Her gün internet üzerinde resimler yüklüyoruz ve libheif, HEIC/HEIF/AVIF resimlerini çözümlemek için kullanılan bu açık kaynak kütüphanesi, sayısız ulusal düzeydeki uygulamada derinlemesine yerleştirilmiştir.

Daha da utanç verici olan, bu güvenlik açıklarına ilişkin kod değişikliğinin aslında geçen yıl açık kaynak topluluğunda bir dal olarak düzeltilmiş olması, ancak güvenlik düzeltmesi etiketi (CVE numarası atanmamış) verilmemesi nedeniyle, birçok alt sistem ve yazılımın bu durumdan habersiz kalması!

Sonraki birkaç ay süren araştırmada, Hacktron ekibi, internet devlerine karşı bir “büyük temizlik” gerçekleştirmek için AI’yı otomatik bir haker olarak kullandı.

Şunları keşfettiler: Slack, Zoom, Meta, GitHub... bu ünlu teknoloji devleri, resim yükleme kabul ediyorsa neredeyse hepsi çöktü!

Ruby on Rails veya Node.js ekosistemindeki Next.js, Astro, Gatsby gibi popüler çerçevelerden hangisi kullanılırsa kullanılsın, bu kütüphane çağrıldığında neredeyse tamamen kontrol altına alınabilir.

Maliyet daha da inanılmaz derecede düşük.

Hacktron ekibi, «HEIF Büyük Soygunu» araştırma projesinin iki ay süren bir çaba olduğunu ve yukarıda bahsedilen tüm devlerin kapsandığını belirtti. Ayrıca, büyük modeller için harcanan Token maliyeti toplamda 3000 doların altında!

Her farklı teknoloji şirketi için, AI hedef şirketin ortamına göre "zehirli resimleri" bir ila iki gün içinde otomatik olarak özelleştirilmiş saldırı silahlarına dönüştürebilir.

Binlerce test görüntüsü atıldıktan sonra, Shopify dışında tüm büyük internet şirketleri hiçbir şey fark etmeden görsel işlemcileri sürekli çökmeye başladı!

Bu, modern internetin zayıflığının bir özetidir: Ünlü xkcd karikatürünün alay ettiği gibi, tüm modern dijital altyapı, bilinmeyen bir programıcının bakımında olan ve açıklarla dolu küçük bir açık kaynak kütüphanesine dayanmaktadır.

Daha sonra bu güvenlik açıklarını Discourse ve OpenAI'ye bildirdiler.

İlk raporun sunulmasından yaklaşık 14 saat sonra OpenAI, tek oturum açma (SSO) sorununu düzeltti. Discourse daha sonra düzeltmeyi tamamladı.

6.500 dolar (yaklaşık 50.000 Çin yuanı) ödül alan bu güvenlik açığı raporu, siber güvenlik tarihinde bir dönüm noktası olacak.

Uzun süredir yazılım endüstrisi, “karmaşıklık güvenliği” adlı gizli bir koruma çatısı altında bulunmuştur.

Geçmişte, bir açık kaynak kod deposunun açıklığı ortaya çıksa bile, kaynak kodu masanın üzerinde olsa bile, sıradan bir hacker bunu kullanamazdı.

Bir teorik bellek bozulma zafiyetini gerçek bir sunucu saldırısı aracı haline getirmek, son derece nadir olan uzmanlık, büyük miktarda zaman harcamak ve hedef ortamın derinlemesine tersine mühendisliği gerektirir.

Geçmişte, 0-Day olarak bilinen bu üst düzey zafiyet silahlarının geliştirilmesi çok yüksek maliyetliydi ve genellikle yalnızca devlet düzeyindeki hacker birlikleri, yüksek değerli hedefler için bu çabayı harcayabilirdi. Normal şirketler, bu saldırıların maliyet engeli sayesinde güvenlik sağlayabilirdi.

Ancak AI, bu koruyucu şemsiyeyi kendi eliyle parçaladı.

Hacktron, raporun sonunda yazdı:

Yapay zeka bu korumayı ortadan kaldırıyor ve bir zamanlar kıymetli olan hacker uzmanlığını ucuz hesaplama gücüne dönüştürüyor. Bir zamanlar varlıklı bir ekip tarafından aylarca tamamlanması gereken saldırılar, şimdi birkaç gün hatta birkaç saat içinde tamamlanabiliyor.

Şu anda, hiçbir engeli olmayan ileri düzey bir AI'ya sahip üçlü bir ekip, milli takım seviyesinde bir güvenlik nüfuz yeteneği sergileyebilir.

Şirketiniz hâlâ "hacker'ların bize gözümüze bakmadığı" iddiasıyla savunma yapıyor ise, bir sonraki merkezi kod deposunu ele geçiren siz olabilirsiniz.

Bu yazı, WeChat hesabından "Yeni Akıl" (ID: AI_era) tarafından yazılmıştır, yazar: ASI Vahiyname