Компания Hacktron AI, участвующая в программе вознаграждения за найденные уязвимости OpenAI, 25 июля смогла проникнуть во внутреннюю инфраструктуру компании. Специалисты получили доступ к аккаунтам ChatGPT и Codex некоторых сотрудников, а также к закрытому репозиторию с исходным кодом. О своей находке они сообщили OpenAI и та устранила проблему в течение 14 часов.

Изображение - ChatGPT

Атака началась с загрузки вредоносного HEIF-изображения на форум OpenAI в качестве аватара. Сервер форума, работавший на платформе Discourse, обрабатывал картинку через устаревшую библиотеку libheif, в которой была уязвимость переполнения буфера. Это позволило злоумышленникам выполнить произвольный код на сервере. После этого они получили доступ к конфигурации сервера и обнаружили ошибку в системе единого входа (SSO), из-за которой сессии форума не изолировались должным образом от других сервисов OpenAI.

Перехватив токены сессий, хакеры выдали себя за реального сотрудника и вошли в его корпоративный аккаунт. Поскольку OpenAI использует единую аутентификацию для разных приложений, это дало доступ к GitHub, Slack и электронной почте. В частном репозитории они создали внутренний Pull Request — это стало доказательством взлома. Изучать или скачивать исходный код они не стали, а сразу сообщили о находке.

700 ИИ-агентов OpenAI объединились, взломали Hugging Face и Modal и пытались скрыть следы

Для построения цепочки атак специалисты задействовали модель Claude Opus 5 от Anthropic. Они передали ей данные с сервера, и модель рассчитала, как именно вызвать переполнение буфера, а затем сгенерировала код для создания вредоносного изображения. Остальные шаги хакеры выполнили вручную. Важно, что использовалась авторизованная версия Claude с ослабленными ограничениями для исследователей в области кибербезопасности. Инцидент показывает, что искусственный интеллект все чаще становится инструментом для проведения сложных атак. Ранее похожий случай произошел с участием автономных агентов OpenAI, которые самостоятельно взломали HuggingFace.