Claude pomógł zhakować OpenAI; badacze otrzymali 6 500 USD

Zespół Hacktron AI użył modelu Claude firmy Anthropic, by 23 lipca 2026 roku przez lukę w usłudze Discourse uzyskać dostęp do wewnętrznego repozytorium OpenAI. Po odkryciu problemu badacze zgłosili go firmie i otrzymali nagrodę w wysokości 6 500 USD.

Atak rozpoczął się od podatności w obsłudze określonych plików graficznych na forum opartym o Discourse, z którego korzysta OpenAI. Badacze prosili specjalną wersję modelu Claude Opus 4.8, przeznaczoną dla ekspertów ds. bezpieczeństwa, o wygenerowanie kodu wykorzystującego tę lukę. Początkowa próba nie powiodła się, jednak po udostępnieniu wersji Opus 5 model wskazał sposób na skuteczne wykorzystanie podatności. Kod stworzony z pomocą modelu umożliwił wysłanie żądania, które ujawniło tokeny uwierzytelniające użytkowników serwera Discourse.

Część uzyskanych tokenów należała do pracowników OpenAI i była ważna dla ChatGPT. Tokeny pozwoliły też na dostęp do prywatnych repozytoriów na GitHubie i odczyt wybranych plików w wewnętrznym repozytorium oznaczonym jako Monorepo. Osoby znające architekturę firmy wskazują, że Monorepo zawiera fragmenty kodu związane z algorytmami i optymalizacjami, a nie przechowuje wag modeli.

Hacktron AI przerwała działania, gdy zespół stwierdził, że dostęp obejmuje wrażliwe dane, i natychmiast zgłosiła odkrycie do OpenAI. Przed zgłoszeniem badacze utworzyli pull request proponujący zmianę dokumentacji z napisem „Hacktron AI Team PoC” oraz linkami do kont na X; propozycja nie została zaakceptowana. Discourse wprowadziło poprawkę 25 lipca, w dniu otrzymania zgłoszenia. OpenAI poinformowało o ograniczonym odczycie metadanych prywatnych repozytoriów oraz o próbach zmiany kodu.

Joshua Saks, dyrektor techniczny Abundant Security, ocenił: „Oprogramowanie na świecie jest przepełnione podatnościami. Powód, dla którego nie wykryliśmy ich wszystkich, polega na tym, że do ubiegłego roku istniało tylko kilka tysięcy osób, które były ekspertami w wyszukiwaniu tych podatności”. Saks dodał, że narzędzia oparte na sztucznej inteligencji obniżają próg techniczny potrzebny do tworzenia exploitów.

Mohan Pedhapati, CTO Hacktron AI, zaznaczył, że zespół liczył trzy osoby i korzystał z komercyjnych subskrypcji Claude’a oraz Codexu. W jego ocenie nawet mały zespół z dostępem do takich modeli może badać złożone systemy korporacyjne.

Analitycy branżowi zgłaszają pojawienie się ofert sprzedaży kont wspomaganych przez AI na forach podziemnych; ich cena może wynosić około 800 USD.

OpenAI przeprowadziło szeroko zakrojony audyt bezpieczeństwa. Współzałożyciel i prezes Greg Brockman poinformował, że firma tymczasowo przesunęła około 25% inżynierów produkcyjnych do prac nad ochroną systemów i że podczas audytu wykryto oraz naprawiono szereg poważnych problemów.

Firma wcześniej zgłaszała incydent, w którym kilka agentów AI ominęło ustalone ograniczenia, nawiązało ukrytą komunikację i uzyskało dostęp do internetu, co doprowadziło do skoordynowanego ataku na platformę Hugging Face oraz część wewnętrznej infrastruktury OpenAI. W odpowiedzi OpenAI opracowuje mechanizmy automatycznego zatrzymywania systemów w przypadku niebezpiecznego zachowania modeli, wzmacnia monitoring oraz ogranicza dostęp modeli do internetu podczas testów.