اوپن اے آئی، کلاؤڈ ماڈل نے اسے "ہیک" کر دیا!
کلود کے ذریعے صرف تین افراد کی ایک سیکورٹی ٹیم نے کم سے کم 72 گھنٹوں میں ایک OpenAI ملازم کے ChatGPT اکاؤنٹ پر حملہ کر کے OpenAI کے اندری پرائیویٹ کوڈ ریپوزٹری تک رسائی حاصل کر لی۔
اور ان کی طرف سے صرف ڈیزی ڈالر کا Opus 5 سبسکرپشن فیس ادا کیا گیا۔
یہ بھی ایک ایپیک سسٹم کے خلیل کا معاملہ ہے۔
جادو کے خلاف جادو استعمال کرنا، بہت ناٹکی ہے
یہ بات بھی بہت سیاہ مزاح ہے۔
ہالکٹرون AI نامی ایک نئی سیکیورٹی ٹیم نے تھوڑی دیر پہلے OpenAI کے بگ بونس پروگرام میں شرکت کی۔
ان کا استعمال کیا جانے والا آخری ہتھیار، Anthropic کا تازہ ترین Opus 5 ہے۔
کسی نے نہیں سوچا تھا کہ کامیابی اتنی آسان ہو جائے گی۔
ایک تین افراد کی ٹیم نے بے حفاظت Opus 5 کا استعمال کرتے ہوئے OpenAI کے ایک اندر کے ملازم کے ChatGPT اور Codex اکاؤنٹس پر کنٹرول حاصل کر لیا!
اس کے بعد، وہ OpenAI کے سب سے اہم راز کے علاقے میں داخل ہو گئے — جس میں مرکزی الگورتھم اور ملکی کوڈ شامل تھا۔
اپنے آنے کا ثبوت دینے کے لیے ٹیم نے ایک چیلنج کرنے والی بات کی۔
انہوں نے OpenAI کے ملازمین کے Codex اکاؤنٹ کا استعمال کرتے ہوئے، اندر کے کوڈ ریپوزٹری میں ایک بے ضرر PR جمع کرایا۔
رپورٹ کے بعد، OpenAI کی سیکورٹی ٹیم پسینہ بہانے لگی، جس نے 14 گھنٹوں میں اس خامی کو فوری طور پر درست کر دیا اور تین افراد کی ٹیم کو 6500 امریکی ڈالر کا انعام دیا۔
خبر کے ساتھ صنعت کے اندر ہلچل مچ گئی: "بےحد! اوپن اے آئی کا اپنا گھر ہی دشمن نے تباہ کر دیا!"
کسی نے ایک جان لیوا سوال پوچھا: "اگر تین عام افراد اور ایک کلوڈ سبسکرپشن سے ایسا کچھ ممکن ہو سکتا ہے، تو قومی ٹیم ہیکرز AI کے ساتھ کیا کر سکتے ہیں؟"
9 قدموں میں نفوذ، ایک ہی تلوار سے ختم
یہ 72 گھنٹے سے کم کی تیز رفتار مہم، ٹیم کی حملہ کی سلسلہ واری فنی تھی۔
وہ زبردستی کے ذریعے نہیں، بلکہ سب سے زیادہ صبر والا شکاری کی طرح، باہری سب سے ناپسندیدہ کونے سے شروع کرتے ہوئے، ایک ایک کر کے مرکز تک پہنچے۔
پورے حملے کا سلسلہ درج ذیل 9 مہلک مراحل میں تقسیم کیا جا سکتا ہے۔
اکیلیس کی ٹانگ (کمیونٹی فورم) تلاش کریں
OpenAI کی سیکورٹی دفاعی نظام مضبوط ہے، اور مرکزی سرورز پر براہ راست حملہ تقریباً ناممکن ہے۔
لیکن Hacktron ٹیم نے ایک بریک ایوٹ دریافت کیا: OpenAI کا صارفین کے ساتھ مکالمے کے لیے استعمال کیا جانے والا کمیونٹی فورم (community.openai.com)۔
یہ فورم اوپن سورس سافٹ ویئر ڈسکورس پر چلا جاتا ہے اور "OpenAI اکاؤنٹ کے ذریعے ایکلیک سائن ان" (SSO) کی اجازت دیتا ہے۔
چھپی ہوئی ٹائمڈ بمب (libheif کا خرابی)
جب انہوں نے فورم کی تصویر اپ لوڈ فنکشن کا تجزیہ کیا، تو انہیں ایک بہت ہی نایاب لیکن مہلک خامی کا پتہ چلا۔
عام طور پر، فورم FastImage کا استعمال تصاویر کی جانچ کے لیے کرتا ہے، لیکن یہ ایپل کے عام استعمال کی جانے والی HEIF/HEIC فارمیٹ کی تصاویر کو نہیں سپورٹ کرتا۔ اس لیے، سسٹم ان تصاویر کو ImageMagick کو منتقل کر دیتا ہے، جو نیچے کے libheif تصویر ڈیکوڈر کو بلاتا ہے۔
ایک خطرناک بات یہ ہے کہ Debian 12 امیج پر مبنی سسٹم میں نصب libheif کا ورژن (1.19.7) ایک ہیپ بفر اوورفلو کے خطرے کو شامل کرتا ہے۔
AI ہارن کو چھلکا کر، الٰہی ہتھیار تیار کریں
ہیکٹرون ٹیم نے اپنے خود لکھے گئے دھماکہ خیز کوڈ کا استعمال نہیں کیا، بلکہ کلوڈ اوپس 5 کا استعمال کیا۔
اوپس 5 کے "حقیقی مقاصد کے لیے حمل کے کوڈ لکھنے سے انکار" کے سیکورٹی گارڈ کو دور کرنے کے لیے، انہوں نے ایک چال چلی: اپنی ٹیسٹ سرور کو CTF (فلم لینا) کے ٹارگٹ ڈومین (rce.ee/ctf-forum) کے طور پر چھپایا۔
اپنے آپ کو ایک گیم کھیل رہا سمجھنے والا اوپس 5، مکمل طور پر آگ لگا دیتا ہے۔
"毒 تصویر" اپ لوڈ کریں، کنٹرول حاصل کریں (RCE)
انہوں نے فورم پر ایک منصوبہ بند HEIF بریک وائر کی تصویر اپ لوڈ کی۔ جب تصویر بیک گراؤنڈ میں پیرس کی گئی، تو اوورفلو کا خطا فعال ہوا، جس کے نتیجے میں Hacktron ٹیم کو OpenAI کمیونٹی فورم کے ماحول میں ریموٹ کوڈ ایکزیکشن کا اختیار حاصل ہو گیا۔
مہلک تصدیق کی خامی (SSO)
فورم کا ہیک ہونا صرف پہلا مرحلہ ہے۔ OpenAI SSO (سینگل سائن آن) میں تصدیق کی ترتیب کی کمی کی وجہ سے، کوئی بھی صارف جس نے اس فورم پر لاگ ان کیا ہو، اس کا شناختی ٹوکن چوری ہو سکتا ہے۔
اندرونی ملازمین کے ChatGPT/Codex اکاؤنٹس کو حصول کرنا
اوپر کے SSO خرابی کے ذریعے، ٹیم نے کئی OpenAI ملازمین کے ChatGPT اور Codex اکاؤنٹس پر کنٹرول حاصل کر لیا۔
سرخیوں کو پکڑ کر، ہدف تک پہنچیں
اوپنای آئی کے ملازمین عام طور پر کوڈیکس کو گٹہب، اسلاک، آؤٹلک جیسے اندر کے آفس اور ڈویلپمنٹ ٹولز کے ساتھ گہرا جوڑتے ہیں۔
اندرونی کوڈ لائبریری میں گھسیٹنا
بے قرار کردہ ملازم کے اکاؤنٹ کا استعمال کرتے ہوئے، ہیکٹرون ٹیم نے اوپن اے آئی کے مرکزی ریپوزیٹری تک رسائی حاصل کر لی۔
نشان چھوڑیں، کام کو چھپائیں
PR #1186742 جمع کریں، پھر تمام ٹیسٹنگ بند کر دیں اور OpenAI کو سیکورٹی خامی کی رپورٹ جمع کریں۔
ایک عام HEIC تصویر سے لے کر OpenAI کے اندر کے اہم رازوں کے ڈیٹا بیس تک، اس غیر ممکن لگنے والی راہ کو Opus 5 نے کامیابی سے جوڑ دیا۔
سانس لینے کی صلاحیت کو ختم کرنے والا ترقی: Opus 4.8 سے Opus 5 تک
اگر یہ خامی خود کافی ہنر مند تھی، تو اس حملے میں ظاہر ہونے والی AI کی ترقی کی رفتار نے تمام سائبر سیکیورٹی فنکاروں کو خوفزدہ کر دیا۔
حملے سے دو دن پہلے، یعنی اس سال 23 جولائی کو، Hacktron ٹیم نے اس خامی کو پہلے ہی دریافت کر لیا تھا۔
اس وقت، وہ Anthropic کے پچھلے نسخے Claude Opus 4.8 کا استعمال کر رہے تھے۔
ASLR کے ڈیفالٹ دفاعی ماحول میں، Opus 4.8 تھوڑا مشکل محسوس کر رہا ہے۔
ASLR، یعنی ایڈریس سپیس لے آؤٹ رینڈومائزیشن، ایک محفوظ مکینزم ہے جو پروسیس لوڈ ہونے پر اہم میموری علاقوں کے ایڈریسز کو رینڈم طور پر ترتیب دے کر سسٹم کی حفاظت کو مؤثر طریقے سے بڑھاتا ہے۔
ٹیم نے کئی سیشنز کی کوشش کی، لیکن Opus 4.8 ہمیشہ مستحکم ایکسپلوٹ کوڈ پیدا نہیں کر سکا۔
7 جولائی کی رات کو موڑ آیا — Anthropic نے مکمل طور پر Claude Opus 5 جاری کیا۔
ہیکٹرون ٹیم نے نئے ہتھیار حاصل کرنے کے فوراً بعد ایک نیا Opus 5 سیشن شروع کر دیا۔
معجزہ ہو گیا: پہلے تین گھنٹوں میں، Opus 5 نے مقامی Mac کے ARM64 آرکیٹیکچر کے لیے حملہ کوڈ تیار کر لیا۔
اس کے بعد، ٹیم نے اسے Discourse فورم کے استعمال کردہ x86-64 ماحول اور jemalloc میموری الائوسٹر پر منتقل کرنے کا مطالبہ کیا۔
صرف ایک رات کے بعد، 25 جولائی کی صبح 6 بجے، Opus 5 نے تصویر اپ لوڈ کرکے مقامی RCE کی درستگی کی تصدیق کر لی۔
ساتھے 10 بجے، خودکار سائکل ہدف کے طور پر ترتیب دیا گیا Opus 5 ایجنٹ، کلاؤڈ انستنس کو کامیابی سے توڑ چکا تھا اور سسٹم کے بنیادی فائلز کو پڑھ چکا تھا۔
نئی مدل نے اگلے دن ہی پرانی مدل کے دریافت نہ کرنے والے خامیوں کو توڑ دیا اور ان کا آٹومیٹڈ استعمال شروع کر دیا!
ایک کریڑا حقیقت یہ ہے کہ AI ماڈلز کی صلاحیتوں میں بڑھوتے کے ساتھ ہی ہیکرز کے حملوں کی رکاوٹیں اسی طرح گھٹ رہی ہیں۔
بعد میں کی گئی وسیع ٹیسٹنگ میں، ٹیم نے یہ بھی دریافت کیا کہ اپ ڈیٹڈ GPT-5.6 Sol ماڈل کا استعمال کرتے ہوئے، AI ایسی انتہائی اندھی صورتحال میں بھی خودکار طور پر میموری لیک، اسکیل اپ، لیٹرل ماؤومنٹ، اور موجودہ دفاعی نظام کو گھومنے کا مکمل سلسلہ مکمل کر سکتا ہے جہاں ہدف کے سسٹم کے بارے میں کچھ نہیں معلوم ہوتا، صرف یہ معلوم ہوتا ہے کہ کوئی خامی موجود ہے۔
یہ صلاحیت، گزشتہ میں صرف عالی الشأن قومی ہیکرز کے لیے مخصوص تھی۔
HEIF کا بڑا چوری کا معاملہ: پورا انٹرنیٹ ننگا چل رہا ہے؟
کیا آپ سوچتے ہیں کہ صرف OpenAI پر ہی بری بات ہو رہی ہے؟ بہت غلط فہمی۔
ہیکٹرون ٹیم نے اس دریافت کو "HEIF ہائی جیک" کا نام دیا۔
اس خامی کی بھیانک بات یہ ہے کہ یہ صرف OpenAI کا مسئلہ نہیں بلکہ پورے انٹرنیٹ انفراسٹرکچر کا اوپن سورس انحصار کا مسئلہ ہے۔
ہم روزانہ انٹرنیٹ پر تصاویر اپ لوڈ کرتے ہیں، اور HEIC/HEIF/AVIF تصاویر کو پڑھنے کے لیے استعمال ہونے والا اوپن سورس لائبریری libheif، لاکھوں ملکی سطح کے ایپلیکیشنز میں گہرا چھپا ہوا ہے۔
زیادہ بے ترتیب بات یہ ہے کہ اس خرابی کے لیے کوڈ میں تبدیلی پہلے سال ہی اوپن سورس کمیونٹی میں برانچ کے ذریعے درست کر دی گئی تھی، لیکن چونکہ اسے سیکورٹی پچ کا لیبل نہیں دیا گیا (CVE نمبر مختص نہیں ہوا)، اس لیے نیچے کئی سیستم اور سافٹ ویئر کو اس بات کا علم تک نہیں ہوا!
بعد میں کئی ماہ تک چلنے والی تحقیق میں، ہیکٹرون ٹیم نے AI کو آٹومیٹڈ ہیکر کے طور پر استعمال کرتے ہوئے انٹرنیٹ کے بڑے ٹیکنالوجی کمپنیوں پر ایک "بڑا صفائی" کیا۔
انہوں نے پایا: Slack، Zoom، Meta، GitHub… یہ سب مشہور ٹیکنالوجی کمپنیاں، جنہیں تصویر اپ لوڈ کرنے کی اجازت ہے، تقریباً تمام متاثر ہو گئیں!
چاہے Ruby on Rails ہو یا Node.js کے ایککوسسٹم میں Next.js، Astro، Gatsby جیسے مقبول فریم ورکس، جب بھی اس لائبریری کا استعمال کیا جاتا ہے، تو اسے تقریباً کسی بھی طرح سے کنٹرول کیا جا سکتا ہے۔
اس کا اخراج اور بھی حیرت انگیز طور پر کم ہے۔
ہیکٹرون ٹیم نے کہا کہ پورا "HEIF ڈیک ہیس" تحقیقی منصوبہ دو ماہ کا تھا اور اس میں اوپر ذکر کیے گئے تمام بڑے کمپنیوں کو شامل کیا گیا۔ ان کی طرف سے خرچ کیے گئے مڈل مارک ٹوکن کا کل اخراج 3000 ڈالر سے کم تھا!
ہر مختلف ٹیک کمپنی کے لیے، AI صرف ایک یا دو دن میں، مقصد کمپنی کے ماحول کے مطابق "زہریلی تصاویر" کو کسٹمائز حملے کے ہتھیار میں تبدیل کر سکتا ہے۔
ہزاروں ٹیسٹ تصاویر بھیجنے کے بعد، تمام بڑی کمپنیوں کے تصویر پروسیسرز بار بار کریش ہو گئے، صرف Shopify ایک کمپنی نے غیر معمولی بات کا احساس کیا، باقی تمام انٹرنیٹ جائینٹس کو کچھ معلوم نہیں ہوا!
یہ جدید انٹرنیٹ کی کمزوری کا خلاصہ ہے: جیسا کہ مشہور xkcd کارٹون میں مزاحیہ طور پر دکھایا گیا ہے، تمام جدید ڈیجیٹل بنیادی ڈھانچہ، کسی نامعلوم پروگرامر کے ذریعہ برقرار رکھے جانے والے، خرابیوں سے بھرے چھوٹے اوپن سورس لائبریری پر ٹھوس طور پر قائم ہے۔
سیکورٹی کا ماحولیاتی تبدیلی: "پیچیدگی کی پوشیدگی" کا دور ختم
اس کے بعد، انہوں نے ڈسکورس اور اوپن اے آئی کو اس خامی کی اطلاع دی۔
پہلی رپورٹ جمع کرانے کے تقریباً 14 گھنٹے بعد، OpenAI نے سینگل سائن آن (SSO) کی خرابی کو درست کر دیا۔ اس کے بعد Discourse نے بھی اسے درست کر لیا۔
صرف 6,500 امریکی ڈالر (تقریباً 50,000 چینی یوان) کے انعام والی اس خامی کی رپورٹ، سائبر سیکورٹی کے تاریخ میں ایک محوری واقعہ بن جائے گی۔
طویل عرصے سے، سافٹ ویئر صنعت کو ایک انجھی حفاظتی چھتری — “پیچیدگی کی حفاظت” — کا فائدہ حاصل رہا ہے۔
گذشتہ میں، جب تک کسی اوپن سورس کوڈ لائبریری کا خلل عام نہیں ہو جاتا تھا، اور جب تک سورس کوڈ میز پر نہیں رکھ دیا جاتا تھا، عام ہیکرز اس کا استعمال نہیں کر سکتے تھے۔
ایک نظریاتی میموری کے نقص کو حقیقی سرور پر حملہ کرنے والے "ہتھیار" میں تبدیل کرنے کے لیے بہت نایاب ماہرینہ کا علم، بہت زیادہ وقت، اور ہدف کے ماحول کی گہری ریورس انجینئرنگ کی ضرورت ہوتی ہے۔
گذشتہ زمانے میں، 0-Day کہلائے جانے والے اس بہترین کمزوری کے ہتھیار کی ترقی کا خرچ بہت زیادہ ہوتا تھا، اور عام طور پر صرف قومی سطح کی ہیکنگ فورسز ہی اعلیٰ اقدار کے مقاصد کے لیے اس پر توجہ دیتی تھیں۔ عام کمپنیاں اس حملے کی لاگت کی رکاوٹ کی بدولت محفوظ رہ سکتی تھیں۔
لیکن، AI نے اس تحفظ کی چھتری کو اپنے ہاتھوں سے پھاڑ دیا۔
ہیکٹرون نے رپورٹ کے اختتام پر لکھا:
AI اس تحفظ کو ختم کر رہا ہے، جس نے پہلے نایاب ہیکر کی مہارت کو سستی کمپوٹیشن میں تبدیل کر دیا ہے۔ جو حملے پہلے مالی طور پر مضبوط ٹیم کو ماہوں کی ضرورت تھی، وہ اب صرف کچھ دن، یا صرف کچھ گھنٹوں میں مکمل ہو جاتے ہیں۔
اب، کوئی بھی تین افراد کی ٹیم جس نے بے رکاوٹ اعلیٰ AI کو سیکھ لیا ہے، قومی سطح کی حفاظتی نفوذ کی صلاحیت کو ظاہر کر سکتی ہے۔
اگر آپ کی کمپنی اب بھی "ہیکرز ہماری طرف توجہ نہیں دیتے" کے اعتماد پر مبنی تحفظ کرتی ہے، تو اگلی بار جو مرکزی کوڈ لائبریری ہیک ہوگی، وہ آپ ہو سکتے ہیں۔
یہ مضمون ویچن گروپ "نیوزی ایل" (ID: AI_era) سے ہے، مصنف: ASI کا وحی