Hacktron AI використовує Claude Opus 5 для експлуатації безпекової вразливості OpenAI

OpenAI, насправді був «зламаний» моделлю Claude!

Група з трьох осіб, використовуючи Claude, за менше ніж 72 години отримала доступ до облікового запису ChatGPT працівника OpenAI та доступ до внутрішнього приватного сховища коду OpenAI.

А те, що вони витратили, — це лише декілька десятків доларів на підписку Opus 5.

Це ще одна епічна справа про системну дірку.

Це також надто чорний гумор.

Нещодавно команду-стартап з безпеки під назвою Hacktron AI взяла участь у програмі винагород за виявлення вразливостей OpenAI.

Їхнім останнім засобом є останньо опублікований Opus 5 від Anthropic.

Ніхто не очікував, що успіх буде таким легким.

Ця трійка вдалося отримати контроль над обліковими записами ChatGPT і Codex одного з внутрішніх співробітників OpenAI, використовуючи Opus 5 без будь-яких бар’єрів!

Потім вони спокійно увійшли до найбільш важливого секретного району OpenAI — внутрішнього монолітного сховища, що містить основні алгоритми та власний код.

Щоб підтвердити свій візит, команда зробила провокаційний вчинок.

Вони використали обліковий запис Codex працівника OpenAI, щоб подати безпечний PR до внутрішнього кодового сховища.

Після отримання звіту команда безпеки OpenAI поблідла від жаху, за 14 годин терміново виправила цю вразливість і виплатила групі з трьох осіб нагороду в розмірі 6500 доларів США.

Після оголошення цього повідомлення індустрія була в шоці: «Неймовірно! Штаб-квартира OpenAI виявилася знищеною конкурентом!»

Хтось задав питання, що зачіпає душу: «Якщо троє звичайних людей плюс підписка на Claude можуть досягти такого рівня, то що зможуть зробити державні хакери з доступом до ШІ?»

Ця блискавична кампанія тривала менше 72 годин, а атакувальна ланцюжок команди був наповнений мистецтвом.

Вони не використовували сили, а, як найбільш терплячі мисливці, крок за кроком проникли до ядра з найменш помітного кутка зовнішнього кола.

Весь ланцюжок атаки можна розбити на наступні 9 смертельних етапів.

Шукайте п’ятку Ахілеса (спільнота та форум)

Безпека OpenAI надійно захищена, і прямі атаки на основні сервери майже неможливі.

Але команда Hacktron виявила прорив: форум спільноти, який OpenAI використовує для спілкування з користувачами (community.openai.com).

Цей форум побудований на відкритому програмному забезпеченні Discourse і дозволяє «вхід за допомогою облікового запису OpenAI» (SSO).

Прихована бомба з відліком часу (вразливість libheif)

Під час аналізу функції завантаження зображень на форумі вони виявили надзвичайно рідкісний, але смертельний дефект.

Зазвичай форум використовує FastImage для перевірки зображень, але він не підтримує формати HEIF/HEIC, які часто використовуються Apple. Тому система передає ці зображення на обробку ImageMagick, який, у свою чергу, викликає нижчорівневий декодер зображень libheif.

Проблема в тому, що система на основі образу Debian 12 має версію libheif (1.19.7), яка містить вразливість переповнення купи буфера.

Обійти штучний інтелект, виготовити божественну зброю

Команда Hacktron не писала експлойти власноруч, а використала Claude Opus 5.

Щоб обійти безпекові бар’єри Opus 5, які забороняють писати код атак для реальних цілей, вони використали трюк: їхній тестовий сервер був прихований під доменом цілі CTF (rce.ee/ctf-forum).

Opus 5, який вважав, що грає у гру, почав використовувати всі сили.

Завантажте «отруйні зображення», щоб отримати контроль (RCE)

Вони завантажили на форум добре структуроване зловмисне зображення HEIF. Момент, коли зображення було проаналізоване у фоновому режимі, спричинило переповнення, і команда Hacktron успішно отримала права на виконання віддаленого коду в середовищі форуму OpenAI.

Смертельна вразливість аутентифікації (SSO)

Взлом форуму — це лише перший крок. Через недолік у конфігурації аутентифікації OpenAI SSO (однократний вхід) токени ідентичності будь-якого користувача, який раніше входив на цей форум, можуть бути вкрадені.

Захоплення облікових записів внутрішніх співробітників ChatGPT/Codex

За допомогою вищезазначеного вразливості SSO команда успішно взяла під контроль облікові записи ChatGPT та Codex кількох співробітників OpenAI.

Дотримуйтесь нитки, щоб дістатися до серця

Працівники OpenAI зазвичай глибоко інтегрують Codex із внутрішніми інструментами для роботи та розробки, такими як GitHub, Slack, Outlook.

Проникнення до внутрішнього кодового сховища

З використанням скомпрометованих облікових записів співробітників команда Hacktron безперешкодно отримала доступ до основного репозиторію OpenAI.

Залиште знак, глибоко сховайте заслуги та ім’я

Подайте PR #1186742, а потім припиніть всі тести та подайте звіт про вразливість у OpenAI.

Від звичайного зображення HEIC до внутрішньої бази секретів OpenAI — цей здавалося б неможливий шлях був успішно пройдений Opus 5.

Якщо сама дірка була достатньо витонченою, то швидкість еволюції ШІ, продемонстрована в цій атакі, викликала страх у всіх фахівців з кібербезпеки.

За два дні до атаки, 23 липня цього року, команда Hacktron вже виявила цю вразливість.

Тоді вони використовували попередню версію моделі Anthropic — Claude Opus 4.8.

У стандартному середовищі з увімкненим ASLR Opus 4.8 виявляється трохи неприспособленим.

ASLR, або Address Space Layout Randomization (випадкове розташування адресного простору), — це механізм безпеки, який ефективно підвищує захист системи, випадково розташовуючи адреси ключових областей пам’яті під час завантаження процесу.

Команда спробувала кілька сеансів, але Opus 4.8 завжди не зміг згенерувати стабільний експлойт.

Поворотний момент відбувся ввечері 24 липня — Anthropic офіційно запустила Claude Opus 5.

Команда Hacktron, отримавши нову зброю, негайно розпочала нову сесію Opus 5.

Сталося диво: за перші три години Opus 5 успішно написав експлойт для ARM64-архітектури локального Mac.

Після цього команда вимагала перенести код до середовища x86-64, яке використовується Discourse, та алгоритму виділення пам’яті jemalloc.

Лише через одну ніч, о 6:00 25 липня, Opus 5 підтвердив ефективність локального RCE через завантаження зображень.

До 10:00 ранку інтелектуальний агент Opus 5, налаштований на автономне цільове завдання, успішно проник у хмарний інстанс і отримав доступ до базових файлів системи.

Урази, яких не змогли знайти попередні моделі, нова модель розшифрувала та автоматично використала вже на наступний день після запуску!

Жорстока правда: стрімке зростання здатностей моделей ШІ експоненційно знижує бар’єри для хакерських атак.

У подальших масштабних тестах команда навіть виявила, що за допомогою оновленої моделі GPT-5.6 Sol AI може автоматично виконувати повний цикл атаки — виявлення витоків пам’яті, підвищення прав, поперечний рух та обхід існуючих захистів — навіть у екстремальних умовах повної сліпоти, коли про цільову систему нічого невідомо, крім того, що вона має вразливість.

Ця здатність раніше була властива лише найкращим національним хакерам.

Ви думаєте, що лише OpenAI має проблеми? Помиляєтесь.

Команда Hacktron назвала цю знахідку «Великим ограбленням HEIF».

Лють цієї вразливості полягає в тому, що це зовсім не виключно проблема OpenAI, а хвороба відкритих залежностей у базовій інфраструктурі Інтернету.

Щодня ми завантажуємо зображення в інтернет, а цей відкритий кодовий бібліотека libheif для розбору зображень HEIC/HEIF/AVIF широко вбудована в безліч національних додатків.

Ще більш дивно, що щодо цього вразливого коду виправлення вже було зроблено в гілці відкритого співтовариства минулого року, але через відсутність позначки «безпековий патч» (не присвоєно CVE-номера) мільйони операційних систем і програм нижчого рівня просто не знали про це!

У подальшому тривалому місяцями розслідуванні команда Hacktron використовувала ШІ як автоматизованих хакерів для «великої чистки» інтернет-гігантів.

Вони виявили: Slack, Zoom, Meta, GitHub… усі ці відомі технологічні гіганти, які приймають завантаження зображень, майже повністю зазнали поразки!

Незалежно від Ruby on Rails чи популярних фреймворків у екосистемі Node.js, таких як Next.js, Astro, Gatsby, — якщо використовується ця бібліотека, її майже можна повністю контролювати.

Вартість ще більш дивовижно низька.

Команда Hacktron зазначила, що весь дослідницький проект «Велике ограблення HEIF» тривав два місяці і охопив усі вищезгадані гіганти. При цьому витрати на токени великих моделей склали менше 3000 доларів США!

Для кожної різної технологічної компанії штучний інтелект може за один-два дні адаптувати «отруйні зображення» до середовища цільової компанії, перетворюючи їх на спеціалізовані засоби атаки.

Після того як тисячі тестових зображень були відправлені, графічні процесори великих компаній почали постійно збоїти; лише Shopify виявив аномалію, а всі інші інтернет-гіганти навіть не помітили нічого!

Це і є проявом хрупкості сучасного Інтернету: як іронізувалося у відомій коміксі xkcd, вся сучасна цифрова інфраструктура тримається на хиткій основі невідомого програміста, який підтримує невеликий відкритий код з багатою кількістю вразливостей.

Після цього вони повідомили про цю вразливість у Discourse та OpenAI.

Приблизно через 14 години після першого звіту OpenAI виправила проблему з однократним входом (SSO). Пізніше Discourse також виправив цю проблему.

Цей звіт про вразливість, за який було виплачено лише 6500 доларів США (приблизно менше 50 000 юанів), стане поворотною подією в історії кібербезпеки.

Протягом тривалого часу індустрія програмного забезпечення користувалася невидимою захисною куполою — «безпекою складності».

У минулому, навіть якщо вразливість у відкритому кодовому репозиторії була розголошена, а сам код лежав на столі, звичайні хакери не могли її використати.

Щоб перетворити теоретичну вразливість пошкодження пам’яті на справжній «засіб» для атаки на сервер, потрібні надзвичайно рідкісні професійні знання, величезний час та глибоке зворотне інженерне аналізування середовища цілі.

Раніше такі топові уразливості, відомі як 0-Day, вимагали надзвичайно високих витрат на розробку, і лише державні хакерські підрозділи витрачали зусилля на них для досягнення високозначущих цілей. Звичайні компанії могли користуватися безпекою завдяки високому порогу витрат на такі атаки.

Але ШІ власноруч розірвав цей захисний парасоль.

Hacktron написав у кінці звіту:

Штучний інтелект знищує цю захистну бар’єру, перетворюючи колишню дефіцитну хакерську експертизу на дешеві обчислювальні ресурси. Атаки, які раніше вимагали місяців роботи добре фінансованої команди, зараз зводяться до кількох днів, а іноді навіть кількох годин.

Зараз будь-яка трійка, яка володіє продвиненим ШІ без бар’єрів, може демонструвати рівень безпекових проникнень, що зрівняється з національною командою.

Якщо ваша компанія все ще полагоджується на те, що «хакери не звертають на нас уваги», то наступною, чиє ядро коду буде зламано, можете бути ви.

Цей матеріал зі сторінки WeChat «Новий розум» (ID: AI_era), автор: АСІ Апокаліпсис