Forscher erhalten 6.500 US-Dollar für OpenAI-Sicherheitslücke mithilfe von Claude von Anthropics
Foto von Solen Feyissa auf Unsplash.
- Das Sicherheitsunternehmentron AI nutzte Anthropics Claude Opus 5, um einen Fehler in der libheif-Bildverarbeitung und eine Single-Sign-On-Schwachstelle in OpenAI zu verknüpfen.
- Der interne Code von OpenAI wurde innerhalb von weniger als 72 Stunden geknackt, und das Unternehmen musste eine Belohnung von 6.500 US-Dollar zahlen.
- Wiederholte Warnungen vor schwer zu kontrollierenden Modellen kamen von OpenAI, Anthropic und Microsoft.
Ein dreiköpfiges Team des Sicherheits-Startupstron AI nutzte zwei Sicherheitslücken aus, um den ChatGPT-Account eines OpenAI-Mitarbeiters zu kapern und so an den firmeneigenen Code zu gelangen.
Der gesamte Einbruch dauerte weniger als 72 Stunden, und die Angreifer nutzten Anthropics Claude, um die Speicherbeschädigungs-Schwachstelle zu entwickeln.
Wie gelang estron AI, auf den privaten Code von OpenAI zuzugreifen?
OpenAI musste eine Belohnung von 6.500 US-Dollar zahlen, nachdem über einen Fehler in seinem Hilfeforum community.openai.com, das auf Discourse läuft, auf seinen privaten Code zugegriffen wurde.
–tronDie Forscher von Harsh Jaiswal, Mohan Pedhapati und Rahul Maini – stellten fest, dass beim Hochladen eines Fotos im HEIC- oder HEIF-Format die normale Sicherheitsprüfung des Forums (ein Tool namens FastImage) fehlschlug, da FastImage diese Formate nicht unterstützt.
Stattdessen wurde das Foto direkt an ein Programm namens ImageMagick weitergeleitet, das es mithilfe einer Codebibliothek namens libheif öffnete.
Diese Version von libheif wies einen „Heap-Buffer-Overflow“-Fehler auf, der es einem Angreifer ermöglichte, schädlichen Code, getarnt als Foto, einzuschleusen.
Am 23. Juli begann das Team mit dem Testen dieses Fehlers. Zunächst wurde Claude Opus 4.8 beauftragt, Angriffscode zu schreiben. Dieser stieß jedoch an seine Grenzen, sobald die Sicherheitsfunktion ASLR aktiviert wurde. Diese Funktion mischt die Speicherorte von Daten zufällig und erschwert so Angriffe.
Am selben Abend veröffentlichte Anthropic sein Claude Opus 5-Modell, und das Team unternahm einen erneuten Versuch. Innerhalb weniger Stunden generierte es funktionierenden Angriffscode. Anschließend ließen sie den Code an die exakte Computerkonfiguration von Discourse anpassen.
Am frühen Morgen des 25. Juli reichte das Hochladen eines einzigen fehlerhaften Fotos aus, um sie in die Lage zu versetzen, ihren eigenen Code auf den Servern von Discourse auszuführen.
Das allein reichte nicht aus, um an die vertraulichen Daten von OpenAI zu gelangen. Das Team entdeckte dann ein zweites Problem in der Art und Weise, wie OpenAI sein Single-Sign-On-System (SSO) eingerichtet hatte. Mit den für das Forum verwendeten Anmeldedaten konnten sie auch Konten bei ChatGPT und Codex (OpenAIs Programmierwerkzeug) übernehmen – darunter auch Mitarbeiterkonten.
Mithilfe eines gehackten Mitarbeiterkontos gelangten sie in das private Code-Repository von OpenAI, das als „Monorepo“ bezeichnet wird. Um zu beweisen, dass sie Zugang erhalten konnten, ohne tatsächlich sensible Daten einzusehen, veranlassten sie Codex, eine kleine, harmlose Codeänderung, einen sogenannten „Pull Request“, in diesem privaten Repository zu veröffentlichen.
Discourse, das Unternehmen hinter der Forensoftware, bestätigte und behob den Bildfehler in einer Sicherheitsmitteilung vom 28. Juli und bewertete ihn mit 8,8 von 10 Punkten hinsichtlich seiner Schwere. Der zugehörige tracist offiziell unter der Nummer CVE-2026-32882 gelistet.
tron meldete das Anmeldeproblem am 25. Juli über die Bug-Bounty-Plattform Bugcrowd an OpenAI, und OpenAI bestätigte die Behebung des Problems etwa 14 Stunden später. OpenAI zahlte die Belohnung von 6.500 US-Dollar am 1. September aus.
Das Unternehmen wies darauf hin, dass das Testen des Discourse-Forums selbst technisch gesehen nicht von seinem Prämienprogramm abgedeckt sei, weshalb die Belohnung nur die Login-Schwachstelle betreffe.
tron behauptet, derselbe Image-Bug habe ihnen Zugang zu anderen Unternehmen verschafft, darunter Slack, Meta Platforms (NASDAQ: META), Zoom und Shopify – allerdings gibt es bisher nur im Fall von OpenAI eine vollständige, bestätigte Chronologie und Beweise.
Was bedeutet das für die Sicherheit von KI?
Wochen vor diesem Einbruch meldete OpenAI einen „Hugging Face-dent“, bei dem interne Modelle aus einer Sandbox ausbrachen und in die Produktionssysteme eines Drittanbieters gelangten.
Anthropic gab außerdem bekannt , dass drei Fälle aufgedeckt wurden, in denen Claude während versiegelter Cyber-Evaluierungen, die sich als mit Live-Internetzugang versehen herausstellten, reale Organisationen kompromittiert hat.
Microsoft-KI-Chef Mustafa Suleyman erwähnte in einem Essay diese Woche den Schwarm von 1.200 Agenten, der hinter dem Vorfall mit dem umarmten Gesicht steckte, und argumentierte, dass immer autonomere Modelle immer schwieriger zu kontrollieren seien.
Der Falltron liefert ein reales, dokumentiertes Beispiel dafür, dass genau die Art von KI-Codierungsassistenten, die Unternehmen jetzt in GitHub, Slack, E-Mail und Cloud-Speicher integrieren, auch schon so gut sind, dass sie ernsthafte Hacking-Arbeiten beschleunigen können, für die Spezialisten früher lange Zeit von Hand benötigten.
Die klügsten Köpfe der Krypto-Szene lesen bereits unseren Newsletter. Möchten Sie auch dabei sein? Dann schließen Sie sich ihnen an.
Häufig gestellte Fragen
Wie gelangtetron in die Systeme von OpenAI?
Das Team erlangte durch einen Überlauf in der Bildverarbeitungsbibliothek libheif die Möglichkeit zur Fernausführung von Code im Discourse-basierten Community-Forum von OpenAI und nutzte anschließend eine weitere Schwachstelle im Single Sign-On-System von OpenAI, um sich so Zugang zu den ChatGPT- und Codex-Konten eines Mitarbeiters zu verschaffen, die mit dem GitHub-Repository von OpenAI verbunden waren.
Welche Rolle spielte Claude von Anthropics Filmen?
Lauttron konnte Claude Opus 4.8 den Speicherkorruptionsangriff nicht zuverlässig durchführen, aber nachdem Anthropic am 24. Juli 2026 Claude Opus 5 veröffentlichte, schrieb das Model innerhalb weniger Stunden einen funktionierenden Exploit und passte ihn an die Umgebung des Ziels an.
Wie viel hat OpenAI für die Veröffentlichung bezahlt?
OpenAI zahlte am 1. September 2026 eine Prämie in Höhe von 6.500 US-Dollar, die das Single-Sign-On-Problem auf der eigenen Infrastruktur abdeckte; Tests gegen das von Discourse gehostete Community-Forum fielen nicht unter den Geltungsbereich der Prämie von OpenAI.
Hannah Collymore
Hannah ist Autorin und Redakteurin mit fast zehn Jahren Erfahrung im Bloggen und der Eventberichterstattung im Kryptobereich. Bei Cryptopolitanschreibt sie für die Nachrichtenseite und berichtet und analysiert die neuesten Entwicklungen in den Bereichen DeFi, RWA, Kryptoregulierung, KI und Zukunftstechnologien. Sie hat an der Arcadia University Betriebswirtschaftslehre studiert.
