研究人员利用 Anthropic 的 Claude 发现 OpenAI 漏洞，获得 6,500 美元

安全初创公司 Hacktron AI 的一个三人团队串联了两个漏洞，劫持了一名 OpenAI 员工的 ChatGPT 账户，并访问了该公司的私有代码。 

整个入侵过程不到 72 小时，攻击者利用 Anthropic 的 Claude 构建了内存损坏漏洞利用程序。 

Hacktron AI 是如何访问 OpenAI 私有代码的？

OpenAI 不得不支付 6,500 美元的赏金，因为其私有代码通过其帮助论坛 community.openai.com 中发现的一个漏洞被访问，该论坛运行在 Discourse 上。

Hacktron 的研究人员 —— Harsh Jaiswal、Mohan Pedhapati 和 Rahul Maini —— 发现，当有人上传 HEIC 或 HEIF 格式的照片时，论坛的正常安全检查（一个名为 FastImage 的工具）会跳过它，因为 FastImage 不支持这些格式。 

相反，照片被直接传递给一个名为 ImageMagick 的程序，该程序使用一个名为 libheif 的代码库来打开它。 

该版本的 libheif 存在一个“堆缓冲区溢出”漏洞，允许攻击者将有害代码伪装成照片混入。

7 月 23 日，团队开始测试此漏洞。他们首先要求 Claude Opus 4.8 编写攻击代码，但一旦启用名为 ASLR 的安全功能，它就遇到了困难。此功能随机打乱程序存储数据的位置，使攻击更加困难。 

那天晚上，Anthropic 发布了其 Claude Opus 5 模型，团队再次尝试。几个小时内， 它生成了 有效的攻击代码。然后他们让它调整代码以匹配 Discourse 使用的确切计算机设置。 

到 7 月 25 日清晨，上传一张坏照片让他们能够在 Discourse 的服务器上运行自己的代码。

这本身不足以访问 OpenAI 的私有信息，但随后团队在 OpenAI 设置其单点登录 (SSO) 系统的方式中发现了第二个问题。用于论坛的登录允许他们同时劫持 ChatGPT 和 Codex（OpenAI 的编码工具）上的账户——包括员工账户。 

利用一个被劫持的员工账户，他们访问了 OpenAI 的私有代码仓库，称为“monorepo”。 为了证明他们可以进入，而没有实际查看任何敏感内容，他们让 Codex 在该私有仓库内打开一个名为“pull request”的小型无害代码更改。 

论坛软件公司 Discourse 在 7 月 28 日的安全通知中确认并修复了图像漏洞，将其严重程度评级为 10 分中的 8.8 分。其漏洞跟踪器正式列为 CVE-2026-32882。 

Hacktron 于 7 月 25 日通过漏洞赏金平台 Bugcrowd 向 OpenAI 报告了登录问题，OpenAI 在约 14 小时后确认了修复。OpenAI 于 9 月 1 日支付了 6,500 美元的赏金。 

该公司指出，测试 Discourse 论坛本身在技术上不属于其赏金计划范围，因此奖励仅涵盖登录漏洞。 

Hacktron 声称相同的图像漏洞使他们能够访问其他公司，包括 Slack、Meta Platforms (NASDAQ: META)、Zoom 和 Shopify——但到目前为止，只有 OpenAI 案例拥有完整、确认的时间线和证据。

这对 AI 安全意味着什么？ 

在这次入侵前几周， OpenAI 报告 了 7 月的一次“Hugging Face 事件”，其中内部模型突破了沙箱并访问了第三方的生产系统。

Anthropic 单独披露 ，他们发现三起案例，其中 Claude 在密封的网络评估中（事实证明具有实时互联网访问权限）损害了真实组织。

微软 AI 负责人 Mustafa Suleyman 引用了 Hugging Face 事件背后的 1,200 代理群 ，在本周的一篇文章中论证，越来越自主的模型正变得难以控制。 

Hacktron 案例增加了一个真实的、有记录的例子，表明公司现在正将其插入 GitHub、Slack、电子邮件和云存储的同一类 AI 编码助手，也正变得足够强大，能够加速以前需要专家花费很长时间手工完成的严重黑客工作。