Hacktron AI sử dụng Claude Opus 5 để khai thác lỗ hổng bảo mật của OpenAI

OpenAI, hóa ra lại bị mô hình Claude "đột nhập"!

Một đội an ninh chỉ gồm 3 người đã sử dụng Claude, trong chưa đầy 72 giờ đã xâm nhập vào tài khoản ChatGPT của một nhân viên OpenAI và giành quyền truy cập vào kho mã nguồn riêng của OpenAI.

Và những gì họ chi trả chỉ là phí đăng ký Opus 5 vài chục đô la.

Đây lại là một vụ lỗ hổng hệ thống mang tính lịch sử.

Việc này thật sự quá hài hước đen.

Mới đây, một nhóm khởi nghiệp bảo mật có tên Hacktron AI đã tham gia chương trình thưởng lỗ hổng của OpenAI.

Vũ khí tối thượng mà họ sử dụng là Opus 5 vừa được Anthropic phát hành.

Không ai ngờ rằng thành công lại dễ dàng đến vậy.

Đội nhóm 3 người này đã thành công trong việc kiểm soát tài khoản ChatGPT và Codex của một nhân viên nội bộ OpenAI bằng cách sử dụng Opus 5 không có bất kỳ hàng rào bảo vệ nào!

Ngay sau đó, họ ung dung bước vào khu vực bí mật nhất của OpenAI—kho lưu trữ đơn thể chứa các thuật toán cốt lõi và mã sở hữu.

Để chứng minh mình đã đến đây, nhóm đã làm một việc gây khiêu khích.

Họ đã sử dụng tài khoản Codex của nhân viên OpenAI để gửi một PR vô hại vào kho mã nội bộ.

Sau khi nhận được báo cáo, đội an ninh của OpenAI đã toát mồ hôi lạnh và khẩn cấp vá lỗ hổng trong vòng 14 giờ, đồng thời trả khoản tiền thưởng 6.500 USD cho đội ba người.

Thông tin vừa được đưa ra, giới ngành đã chấn động: “Phi lý! Trụ sở của OpenAI竟然 bị đối thủ đánh sập!”

Một người đặt câu hỏi sâu sắc: “Nếu ba người bình thường cộng thêm một gói đăng ký Claude đã có thể làm được điều này, thì những hacker thuộc đội ngũ nhà nước sử dụng AI sẽ làm được những gì?”

Cuộc chiến chớp nhoáng chưa đầy 72 giờ này, chuỗi tấn công của đội ngũ đầy tính nghệ thuật.

Họ không dựa vào sức mạnh thô bạo, mà giống như những thợ săn kiên nhẫn nhất, từng bước tiến vào trung tâm từ một góc nhỏ nhất ở bên ngoài.

Toàn bộ chuỗi tấn công có thể được chia thành 9 mắt xích chết người sau đây.

Tìm điểm yếu của Achilles (diễn đàn cộng đồng)

Các biện pháp bảo mật của OpenAI rất vững chắc, việc tấn công trực tiếp vào máy chủ cốt lõi gần như là không thể.

Tuy nhiên, nhóm Hacktron đã phát hiện ra một lối thoát: diễn đàn cộng đồng do OpenAI sử dụng để giao tiếp với người dùng (community.openai.com).

Diễn đàn này được xây dựng trên phần mềm mã nguồn mở Discourse và cho phép đăng nhập đơn điểm (SSO) bằng tài khoản OpenAI.

Quả bom hẹn giờ ẩn nấp trong bóng tối (lỗ hổng libheif)

Khi phân tích chức năng tải lên hình ảnh trên diễn đàn, họ đã phát hiện ra một lỗ hổng cực kỳ hiếm gặp nhưng nghiêm trọng.

Thông thường, diễn đàn sử dụng FastImage để kiểm tra hình ảnh, nhưng nó không hỗ trợ định dạng hình ảnh HEIF/HEIC thường được Apple sử dụng. Do đó, hệ thống sẽ chuyển những hình ảnh này cho ImageMagick xử lý, sau đó gọi trình giải mã hình ảnh libheif ở cấp độ nền.

Điều đáng lo ngại là hệ thống dựa trên hình ảnh Debian 12 này có phiên bản libheif (1.19.7) chứa lỗ hổng tràn bộ đệm堆.

Lừa vượt hàng rào AI, rèn vũ khí thần kỳ

Đội Hacktron không tự viết mã khai thác, mà đã sử dụng Claude Opus 5.

Để vượt qua hàng rào bảo mật của Opus 5 “từ chối viết mã tấn công cho mục tiêu thực tế”, họ đã chơi một chiêu: giả mạo máy chủ kiểm tra của mình thành tên miền máy mục tiêu của CTF (Capture The Flag) (rce.ee/ctf-forum).

Opus 5, vốn tưởng mình đang chơi game, đã bắt đầu bùng nổ toàn lực.

Tải lên hình ảnh độc hại để chiếm quyền kiểm soát (RCE)

Họ đã tải lên một hình ảnh HEIF độc hại được tạo dựng cẩn thận trên diễn đàn. Ngay khi hình ảnh được phân tích ở nền, lỗ hổng tràn bộ nhớ được kích hoạt, nhóm Hacktron đã thành công trong việc giành quyền thực thi mã từ xa trong môi trường diễn đàn OpenAI.

Lỗ hổng xác thực chết người (SSO)

Việc diễn đàn bị xâm nhập chỉ là bước đầu tiên. Do lỗi cấu hình xác thực trong OpenAI SSO (đăng nhập đơn nhất), bất kỳ người dùng nào đã đăng nhập vào diễn đàn này đều có thể bị đánh cắp mã xác thực của họ.

Xâm chiếm tài khoản ChatGPT/Codex của nhân viên nội bộ

Thông qua lỗ hổng SSO nêu trên, nhóm đã thành công trong việc chiếm quyền kiểm soát tài khoản ChatGPT và Codex của nhiều nhân viên OpenAI.

The translation is not applicable as the phrase is a Chinese idiom and does not have a direct, contextually accurate equivalent in the cryptocurrency exchange domain. No translation provided per rules.

Nhân viên của OpenAI thường tích hợp sâu Codex với các công cụ nội bộ như GitHub, Slack, Outlook để hỗ trợ công việc và phát triển.

Đột nhập vào kho mã nguồn nội bộ

Sử dụng tài khoản nhân viên bị chiếm quyền kiểm soát, nhóm Hacktron đã xâm nhập sâu vào và giành quyền truy cập vào kho lưu trữ chính của OpenAI.

Để lại dấu ấn, ẩn mình sau công danh

Nộp PR #1186742, sau đó dừng tất cả các bài kiểm tra và gửi báo cáo lỗ hổng đến OpenAI.

Từ một hình ảnh HEIC thông thường đến kho bí mật nội bộ của OpenAI, con đường tưởng chừng không thể tin được này đã được Opus 5 kết nối.

Nếu lỗ hổng này đủ tinh vi, thì tốc độ tiến hóa của AI được thể hiện trong cuộc tấn công này đã khiến tất cả các chuyên gia an ninh mạng cảm thấy sợ hãi.

Hai ngày trước khi cuộc tấn công xảy ra, vào ngày 23 tháng 7 năm nay, nhóm Hacktron thực sự đã phát hiện ra lỗ hổng này.

Lúc đó, họ đang sử dụng mô hình thế hệ trước của Anthropic, Claude Opus 4.8.

Trong môi trường bảo vệ mặc định có bật ASLR, Opus 4.8 dường như gặp khó khăn.

ASLR, viết tắt của Address Space Layout Randomization (ngẫu nhiên hóa bố cục không gian địa chỉ), là một cơ chế bảo mật giúp tăng cường bảo vệ hệ thống bằng cách ngẫu nhiên hóa địa chỉ của các vùng bộ nhớ quan trọng khi tải tiến trình.

Đội ngũ đã thử nhiều phiên bản, nhưng Opus 4.8 vẫn không thể tạo ra mã khai thác ổn định.

Điểm chuyển biến xảy ra vào tối ngày 24 tháng 7 — Anthropic chính thức ra mắt Claude Opus 5.

Đội Hacktron, sau khi có được vũ khí mới, đã ngay lập tức mở một phiên Opus 5 mới.

Điều kỳ diệu đã xảy ra: Trong 3 giờ đầu tiên, Opus 5 đã thành công viết mã tấn công cho kiến trúc ARM64 trên Mac cục bộ.

Sau đó, nhóm yêu cầu nó di chuyển mã sang môi trường x86-64 và bộ cấp phát bộ nhớ jemalloc mà Discourse forum sử dụng.

Chỉ sau một đêm, vào lúc 6:00 sáng ngày 25 tháng 7, Opus 5 đã xác nhận tính hiệu quả của RCE cục bộ thông qua việc tải lên hình ảnh.

Đến 10 giờ sáng, tác nhân Opus 5 được thiết lập làm mục tiêu tự lặp lại đã thành công xâm nhập vào phiên bản đám mây và đọc được các tệp cơ sở hệ thống.

Lỗ hổng mà mô hình cũ không thể phát hiện, mô hình mới đã giải mã và tự động khai thác ngay ngày hôm sau!

Một sự thật khắc nghiệt là: sự tăng trưởng mạnh mẽ về khả năng của các mô hình AI đang làm giảm ngưỡng tấn công mạng theo cấp số nhân.

Trong các bài kiểm tra rộng rãi sau đó, nhóm thậm chí phát hiện rằng khi sử dụng mô hình GPT-5.6 Sol mới nhất, AI có thể tự động thực hiện toàn bộ quy trình — bao gồm rò rỉ bộ nhớ, tăng quyền, di chuyển ngang và vượt qua các biện pháp phòng thủ hiện có — ngay cả trong điều kiện cực kỳ mù quáng, khi không biết gì về hệ thống mục tiêu, chỉ biết rằng có lỗ hổng.

Khả năng này trước đây chỉ thuộc về các hacker cấp quốc gia hàng đầu.

Bạn nghĩ chỉ có OpenAI gặp rắc rối sao? Sai lầm lớn.

Đội Hacktron đã đặt tên cho phát hiện này là "Vụ trộm HEIF lớn".

Điều đáng sợ về lỗ hổng này là nó không phải là vấn đề độc quyền của OpenAI, mà là căn bệnh phụ thuộc mã nguồn mở trong cơ sở hạ tầng internet nói chung.

Mỗi ngày, chúng ta đều tải lên hình ảnh trên internet, và thư viện mã nguồn mở libheif dùng để phân tích các định dạng hình ảnh HEIC/HEIF/AVIF được tích hợp sâu rộng trong vô số ứng dụng cấp quốc gia.

Điều khiến người ta bối rối hơn là, về việc sửa mã cho lỗ hổng này, thực tế đã có bản sửa trong cộng đồng mã nguồn mở từ năm ngoái, nhưng do không được gắn nhãn bản vá bảo mật (không được cấp số CVE), khiến hàng loạt hệ điều hành và phần mềm downstream hoàn toàn không biết đến sự việc này!

Trong cuộc điều tra kéo dài nhiều tháng sau đó, nhóm Hacktron đã sử dụng AI như một kẻ xâm nhập tự động để thực hiện một “chiến dịch dọn dẹp” nhắm vào các ông lớn internet.

Họ phát hiện: Slack, Zoom, Meta, GitHub... những ông lớn công nghệ nổi tiếng này, chỉ cần chấp nhận tải lên hình ảnh, thì gần như đều bị tấn công!

Bất kể là Ruby on Rails hay các framework phổ biến trong hệ sinh thái Node.js như Next.js, Astro, Gatsby, chỉ cần gọi thư viện này, gần như đều có thể bị khống chế tùy ý.

The cost is even astonishingly low.

Đội ngũ Hacktron cho biết, toàn bộ dự án nghiên cứu “Vụ trộm lớn HEIF” đã mất hai tháng và bao phủ tất cả các ông lớn nêu trên, trong khi chi phí token mô hình lớn mà họ bỏ ra tổng cộng dưới 3.000 USD!

Đối với mỗi công ty công nghệ khác nhau, AI chỉ cần một đến hai ngày để tự động biến các hình ảnh độc hại thành vũ khí tấn công được tùy chỉnh theo môi trường của công ty mục tiêu.

Sau khi gửi hàng ngàn hình ảnh kiểm tra, bộ xử lý hình ảnh của các công ty lớn liên tục bị sập, chỉ có Shopify phát hiện ra bất thường, còn tất cả các ông lớn internet khác hoàn toàn không hay biết!

Đây là hình ảnh thu nhỏ của sự dễ tổn thương trong internet hiện đại: như bức tranh biếm họa xkcd nổi tiếng từng chế giễu, mọi cơ sở hạ tầng kỹ thuật số hiện đại đều được xây dựng một cách lung lay trên một thư viện mã nguồn mở nhỏ bé, đầy lỗ hổng, được duy trì bởi một lập trình viên không ai biết đến.

Sau đó, họ đã báo cáo lỗ hổng này cho Discourse và OpenAI.

Sau khoảng 14 giờ kể từ khi gửi báo cáo đầu tiên, OpenAI đã khắc phục vấn đề đăng nhập đơn nhất SSO. Discourse sau đó cũng hoàn thành việc sửa chữa.

Báo cáo lỗ hổng chỉ nhận phần thưởng 6.500 USD (tương đương chưa đến 50.000 nhân dân tệ) này chắc chắn sẽ trở thành một sự kiện đánh dấu trong lịch sử an ninh mạng.

Trong thời gian dài, ngành phần mềm đã được hưởng một chiếc ô bảo vệ vô hình — “an toàn do độ phức tạp”.

Trong quá khứ, ngay cả khi lỗ hổng trong một kho mã nguồn mở được công khai và mã nguồn được đặt ngay trên bàn, các hacker bình thường cũng không thể khai thác.

Để biến một lỗ hổng hư hỏng bộ nhớ mang tính lý thuyết thành một “vũ khí” thực sự có thể xâm nhập vào máy chủ, cần đến kiến thức chuyên môn cực kỳ hiếm có, thời gian đầu tư lớn, cùng với quá trình reverse engineering sâu sắc môi trường mục tiêu.

Trước đây, những vũ khí lỗ hổng cấp cao được gọi là 0-Day có chi phí phát triển cực kỳ cao, thường chỉ các đội hacker cấp quốc gia mới bỏ công sức để nhắm vào các mục tiêu có giá trị cao. Các doanh nghiệp thông thường có thể dựa vào rào cản chi phí tấn công này để đảm bảo an toàn.

Tuy nhiên, AI đã tự tay xé nát chiếc ô bảo vệ này.

Hacktron viết ở cuối báo cáo:

AI đang xóa bỏ sự bảo vệ này, biến những chuyên môn hack từng khan hiếm thành sức mạnh tính toán giá rẻ. Những cuộc tấn công trước đây cần một đội ngũ có nguồn vốn dồi dào mất vài tháng mới hoàn thành, nay đã được rút ngắn chỉ còn vài ngày, thậm chí chỉ vài giờ.

Hiện nay, bất kỳ đội ba người nào sở hữu AI cao cấp không có hàng rào bảo vệ đều có thể phát huy khả năng xâm nhập an ninh ngang với đội tuyển quốc gia.

Nếu công ty của bạn vẫn đang dựa vào việc “hacker không coi trọng chúng tôi” để phòng thủ, thì bạn có thể là người tiếp theo có kho mã nguồn cốt lõi bị xâm phạm.

Bài viết này đến từ tài khoản chính thức WeChat “Tân Trí Nguyên” (ID: AI_era), tác giả: ASI Khải Huyền