Изследователи по киберсигурност използваха Claude на Anthropic, за да проникнат във вътрешните системи на OpenAI за под 72 часа

Трима изследователи по сигурността използваха моделите Claude на Anthropic, за да проникнат във вътрешните системи на OpenAI през общностния форум на компанията. Атаката отне по-малко от 72 часа и според екипа е станала възможна едва след пускането на Opus 5.

OpenAI получава да опита от собственото си лекарство. След като неволно позволи на агенти да хакват из интернет в продължение на месеци, компанията вече беше хакната с помощта на изкуствен интелект. Екипът по сигурността на Hacktron свърза две уязвимости, за да получи достъп до акаунтите на служители на OpenAI в ChatGPT и Codex. Оттам те проникнаха във вътрешното хранилище с код на OpenAI в GitHub.

Атаката премина през общностния форум на OpenAI на адрес community.openai.com. Всеки потребител или служител, който е използвал „Вход с OpenAI“ там, потенциално е бил засегнат. Потребителите могат да свържат GitHub, Slack и имейл с Codex и ChatGPT, така че на теория атаката е могла да достигне и до тези услуги. За да докажат, че имат достъп, изследователите използвали акаунта на служител в Codex, за да създадат безвредна заявка за промяна във вътрешното монорепо. Те твърдят, че не са преглеждали чувствителни данни.

Остаряла библиотека за изображения и недостатъчно надеждно удостоверяване отвориха вратата

Първата уязвимост се намирала в libheif — библиотеката, която форумът използвал за обработка на качени HEIC изображения. Според Hacktron корекция е била налична в оригиналния изходен код в продължение на година, но никой не я е отбелязал като проблем със сигурността. Пакетите на Debian, работещи във форума, все още не съдържали корекцията. Специално създаден файл с изображение позволил на изследователите да изпълнят собствен код на сървъра.

Втората уязвимост била неправилна конфигурация в централната система за единен вход (SSO) на OpenAI. Всеки, който контролирал сървъра на форума, можел да се представи за активни членове на форума и да поеме контрола над акаунтите им в ChatGPT и Codex. Проблемът се простирал отвъд форума, пише Hacktron. Всяка компрометирана услуга, използваща вход чрез OpenAI, би предоставила същия достъп.

Claude Opus 5 успя там, където предшественикът му се провали

Изследователите казват, че първоначално са използвали Claude Opus 4.8, за да открият уязвимостта. Моделът създал работещ експлойт, но само при деактивиран ASLR — често срещана защита срещу атаки срещу паметта. В няколко сесии той не успял да създаде надеждна версия с активиран ASLR.

Вечерта на 24 юли Anthropic пусна Claude Opus 5. Според Hacktron новият модел създал работещ експлойт за локален Mac за три часа, след което го адаптирал към сървърна среда на Discourse. След това изследователите пуснали Claude в автономен цикъл срещу собствена тестова инстанция.

Тъй като моделът отказвал да пише експлойти срещу реални системи, те представили целта като задача за бенчмарк. Четири часа по-късно агентът бил поел контрола над сървъра. При свързана задача изследователите наблюдавали и скок в производителността в сравнение с GPT-5.6 Sol на OpenAI.

OpenAI потвърдила отстраняването на проблема около 14 часа след сигнала. Discourse, софтуерът зад форума, също реагирал в рамките на дни.

Изкуственият интелект прави атаките драстично по-евтини

Освен хакването на OpenAI изследователите разширили разследването си, наречено „HEIF Heist“, така че да обхване Slack, Meta, GitHub Enterprise и други цели. Трима души осъществили проекта в продължение на два месеца, като похарчили по-малко от 3000 долара за изкуствен интелект. Адаптирането на атаката към всяка нова цел отнемало само един-два дни. Само Shopify забелязала активността, въпреки хилядите качвания на изображения и многократните сривове при обработката им.

Софтуерът отдавна се възползва от своеобразна сигурност чрез сложност, пише екипът на Hacktron. Дори при публично достъпен изходен код и известна уязвимост създаването на надежден експлойт изисквало рядко срещана експертиза, време и задълбочени познания за целевата среда. Сложността не била истинска бариера за сигурността, но на практика защитавала много компании.

Изкуственият интелект премахва тази защита, като заменя оскъдната експертиза с изчислителна мощ. Hacktron твърди, че моделите на заплахите трябва да отразяват колко евтини са станали атаките. „Работа, която някога изискваше добре обезпечен екип и месеци усилия, сега може да бъде съкратена до дни“, пише екипът.

Новини за изкуствения интелект без сензации – подбрани от хора

Абонирайте се за THE DECODER и получете четене без реклами, седмичен бюлетин за изкуствения интелект, ексклузивния ни шест пъти годишно доклад „AI Radar“ за водещите разработки, пълен достъп до архива и достъп до секцията за коментари.