OpenAI 竟被 Claude 模型「黑」了！
一支僅有3人的安全團隊，憑藉Claude，在不到72小時內攻破了一名OpenAI員工的ChatGPT帳戶，獲取了OpenAI內部私有程式碼倉庫的存取權限。
而他們所花費的，僅僅是幾十美元的 Opus 5 訂閱費。
這又是一宗史詩級的系統漏洞案件。
以魔法對抗魔法，太戲劇化了
這件事，也太黑色幽默了。
就在不久前，一家名為 Hacktron AI 的初創安全團隊參與了 OpenAI 的漏洞賞金計劃。
他們使用的終極武器，就是 Anthropic 最新發布的 Opus 5。
沒有人想到，成功居然如此容易。
這支三人小隊利用無防護的 Opus 5，成功取得一名 OpenAI 內部員工的 ChatGPT 和 Codex 帳戶控制權！
隨後，他們大搖大擺地進入了 OpenAI 最核心的機密區域——包含核心演算法與專有代碼的內部單體倉庫。
為了證明自己到此一遊，團隊做了一件挑釁的事。
他們使用 OpenAI 員工的 Codex 帳號，在內部程式碼庫中提交了一個無害的 PR。
接到報告後，OpenAI 安全團隊冷汗直冒，在 14 小時內緊急修復了這一漏洞，並向三人小隊支付了 6500 美元的賞金。
消息一出，業界都震了：「離譜！OpenAI 的老巢竟然被對手端了！」
有人提出靈魂拷問：「如果3個普通人加上一個Claude訂閱就能做到這種地步，國家隊駭客拿著AI能幹出什麼事？」
9 步滲透，一劍封喉
這場不到 72 小時的閃電戰，團隊的攻擊鏈路充滿藝術性。
他們並非依靠蠻力破解，而是像最耐心的獵手，從外圍最不起眼的角落，一步步摸進了核心。
整個攻擊鏈條，可以被拆解為以下9個致命環節。
尋找阿喀琉斯之踵（社區論壇）
OpenAI's security defenses are impenetrable; directly attacking the core servers is nearly impossible.
但 Hacktron 團隊發現了一個突破口：OpenAI 用於用戶交流的社區論壇（community.openai.com）。
該論壇基於開源軟體 Discourse 搭建，並且允許「使用 OpenAI 帳號單點登錄」（SSO）。
潛藏在暗處的定時炸彈（libheif 漏洞）
在分析論壇的圖片上傳功能時，他們發現了一個極度冷門但致命的缺陷。
通常，論壇使用 FastImage 檢查圖片，但它不支援蘋果常用的 HEIF/HEIC 格式圖片。於是，系統會將這些圖片轉交給 ImageMagick 處理，進而調用底層的 libheif 圖像解碼器。
要命的是，這個基於 Debian 12 鏡像的系統，安裝的 libheif 版本（1.19.7）包含一個堆緩衝區溢出漏洞。
欺騙 AI 防護，鍛造神兵
Hacktron 團隊沒有自行編寫漏洞利用代碼，而是使用了 Claude Opus 5。
為了繞過 Opus 5「拒絕為真實目標編寫攻擊代碼」的安全護欄，他們玩了個花招：將自己的測試伺服器偽裝成 CTF（奪旗賽）的靶機域名（rce.ee/ctf-forum）。
Opus 5 以為自己在玩遊戲，開始火力全開。
上傳「毒圖片」，奪取控制權（RCE）
他們向論壇上傳了一張精心構造的 HEIF 惡意圖片。圖片在後台被解析的瞬間，溢出漏洞被觸發，Hacktron 團隊成功獲得了 OpenAI 社區論壇環境的遠端程式碼執行權限。
致命的身份驗證缺陷（SSO）
論壇被黑只是第一步。由於 OpenAI SSO（單點登錄）存在身份驗證配置缺陷，任何登錄過該論壇的用戶，其身份令牌都可能被竊取。
劫持內部員工的 ChatGPT/Codex 帳號
透過上述 SSO 漏洞，團隊成功接管了多名 OpenAI 員工的 ChatGPT 和 Codex 帳號。
Follow the vine to the gourd, strike straight at the heart of the enemy
OpenAI 的員工通常會將 Codex 與 GitHub、Slack、Outlook 等內部辦公和開發工具深度綁定。
入侵內部代碼庫
透過被劫持的員工帳號，Hacktron 團隊長驅直入，獲得了 OpenAI 核心單體倉庫的訪問權限。
留下記號，深藏功與名
提交 PR #1186742，隨後停止一切測試，並向 OpenAI 提交漏洞報告。
從一張普通的 HEIC 圖片，到 OpenAI 的內部核心機密庫，這條看似不可思議的路徑，居然就被 Opus 5 給打通了。
令人窒息的進化：從 Opus 4.8 到 Opus 5
如果這個漏洞本身足夠精妙，那麼這場攻擊中展現的 AI 進化速度，則讓所有網路安全從業者感到恐懼。
在攻擊發生的兩天前，即今年7月23日，Hacktron 團隊其實已發現這個漏洞。
當時，他們使用的是 Anthropic 的上一代模型 Claude Opus 4.8。
在開啟了 ASLR 的預設防禦環境下，Opus 4.8 顯得有些吃力。
ASLR，即 Address space layout randomization（地址空間佈局隨機化），是一種通過在進程加載時隨機安排關鍵記憶體區域地址，從而有效增強系統防護的安全機制。
團隊嘗試了多個會話，Opus 4.8 始終無法生成穩定的漏洞利用代碼。
轉折點發生在 7 月 24 日晚——Anthropic 正式發布了 Claude Opus 5。
拿到新武器的 Hacktron 團隊，立刻開了一個新的 Opus 5 會話。
奇蹟發生了：在前 3 個小時內，Opus 5 就成功寫出了針對本地 Mac 的 ARM64 架構攻擊代碼。
隨後，團隊要求將代碼移植到 Discourse 論壇使用的 x86-64 環境和 jemalloc 記憶體分配器上。
僅僅一個通宵之後，7月25日清晨6點，Opus 5 就確認了透過圖片上傳實現本地 RCE 的有效性。
到了上午10點，被設置為自主循環目標的Opus 5智能體，已經成功攻破了雲端實例，並讀取了系統底層文件。
新模型於發布次日直接破解並自動化利用上一代模型無法發現的漏洞！
一個殘酷的事實是：AI 模型能力的躍升，正在指數級降低黑客攻擊的門檻。
在後續的廣泛測試中，團隊甚至發現，使用更新的 GPT-5.6 Sol 模型時，AI 甚至可以在「對目標系統一無所知，僅知道存在漏洞」的極端盲視情況下，自動完成內存洩漏、提權、橫向移動以及繞過現有防禦的一條龍服務。
這種能力，過去只屬於頂尖國家級駭客。
HEIF 大劫案：整個互聯網都在裸奔？
你以為只有 OpenAI 倒霉嗎？大錯特錯。
Hacktron 團隊將這次發現命名為「HEIF 大劫案」。
這個漏洞的可怕之處在於，它根本不是 OpenAI 獨有的問題，而是整個互聯網基礎架構的開源依賴病。
我們每天在互聯網上上傳大量圖片，而用於解析 HEIC/HEIF/AVIF 圖片的開源庫 libheif，被廣泛深埋於無數國民級應用中。
更令人無語的是，關於這個漏洞的程式碼修改，其實去年已在開源社群的分支中修復，但由於未被打上安全補丁的標籤（未分配 CVE 編號），導致下游無數作業系統和軟體根本不知道這件事！
在後續長達幾個月的調查中，Hacktron 團隊利用 AI 作為自動化駭客，對互聯網巨頭進行了一次「大掃蕩」。
他們發現：Slack、Zoom、Meta、GitHub……這些赫赫有名的科技巨頭，只要接受圖片上傳，幾乎全軍覆沒！
無論是 Ruby on Rails，還是 Node.js 生態中的 Next.js、Astro、Gatsby 等流行框架，只要調用了這個庫，幾乎就可以被任意拿捏。
成本更是低得驚人。
Hacktron 團隊表示，整個「HEIF 大劫案」研究項目耗時兩個月，覆蓋了上述所有巨頭。而他們花費的大模型 Token 成本，總計不到 3000 美元！
針對每家不同的科技公司，AI 只需一到兩天時間，就能根據目標公司的環境，自動將「毒圖片」改編成定制化的攻擊武器。
After throwing thousands of test images at them, the image processors of major companies repeatedly crashed, but only Shopify noticed the anomaly—every other internet giant remained completely unaware!
這正是現代互聯網脆弱性的縮影：正如那幅著名的 xkcd 漫畫所諷刺的，所有現代數位基礎設施，都搖搖欲墜地建立在某位無名程式設計師維護的、充滿漏洞的小型開源庫之上。
安全範式轉移：「複雜性保密」時代結束
隨後，他們向 Discourse 和 OpenAI 報告了這個漏洞。
在首次提交報告大約14小時後，OpenAI 修復了單點登錄 SSO 問題。Discourse 之後也完成了修復。
這份僅獲 6500 美元（約合不到 5 萬人民幣）賞金的漏洞報告，註定將成為網路安全史上的一個分水嶺事件。
長久以來，軟體行業一直享有一種隱形的保護傘——「複雜性安全」。
過去，即使某個開源代碼庫的漏洞被公開，甚至源碼都擺在桌面上，普通駭客也無法利用。
要將一個理論上的記憶體損壞漏洞轉化為實際可用於攻擊伺服器的「武器」，需要極其罕見的專業知識、大量的時間投入，以及對目標環境的深度逆向工程。
過去，這種被稱為 0-Day 的頂級漏洞武器，研發成本極高，通常只有國家級駭客部隊才會為高價值目標耗費心血。普通企業能憑藉這種攻擊成本門檻獲得安全。
但 AI 亲手撕碎了這把保護傘。
Hacktron 在報告結尾寫道：
AI 正在消除這種保護，它將曾經稀缺的駭客專業知識，轉化為廉價的算力。曾經需要一個資金充裕的團隊耗費數月才能完成的攻擊工作，現在被壓縮到了短短幾天，甚至只需幾個小時。
如今，任何一支掌握無護欄高級AI的三人小隊，都能爆發出堪比國家隊的安全滲透能力。
如果你的公司仍依賴「駭客對我們不屑一顧」來做防禦，那麼下一個被攻破核心程式碼庫的，可能就是你。
本文來自微信公眾號「新智元」（ID：AI_era），作者：ASI啟示錄