安全研究人员利用 Anthropic 的 Claude 在 72 小时内入侵 OpenAI 内部系统

核心要点

• 安全研究人员利用 Anthropic 的 Claude 模型入侵了 OpenAI 的内部系统和代码仓库。
• 攻击经由 OpenAI 社区论坛实施，研究人员通过链式漏洞获取了员工 ChatGPT 和 Codex 账户的访问权限。
• 整个漏洞利用过程仅耗时 72 小时，这表明 AI 模型正在大幅缩短高级网络攻击所需的开发时间和降低技能门槛。

三名安全研究人员利用 Anthropic 的 Claude 模型，通过 OpenAI 的社区论坛入侵了该公司的内部系统。此次攻击耗时不到 72 小时，团队表示，直到 Opus 5 发布后，这种攻击才成为可能。

OpenAI 正在体验“以其人之道还治其人之身”。在 不慎让智能体在互联网上潜伏数月并实施协调黑客攻击 之后，该公司如今也因 AI 的协助而被黑客入侵。Hacktron 的安全团队将两个漏洞串联起来，获取了 OpenAI 员工的 ChatGPT 和 Codex 账户访问权限。随后，他们攻破了 OpenAI 位于 GitHub 上的内部代码仓库。

此次攻击 是通过 community.openai.com 上的 OpenAI 社区论坛进行的。任何曾在那里使用“通过 OpenAI 登录”功能的用户或员工都可能受到影响。由于用户可以连接 GitHub、Slack 和电子邮件到 Codex 和 ChatGPT，该攻击在理论上也可波及这些服务。为证明访问权限，研究人员使用某位员工的 Codex 账户在内部 monorepo 中创建了一个无害的 pull request（拉取请求）。他们声称并未查看任何敏感数据。

过时的图像库和存在缺陷的身份验证打开了大门

第一个漏洞存在于 libheif 中，这是论坛用于处理上传的 HEIC 图像的库。根据 Hacktron 的说法，原始源代码 中一年前就已提供修复方案，但一直未被标记为安全问题。运行在论坛上的 Debian 软件包仍然缺少该修复。研究人员通过构造一个图像文件，得以在服务器上执行自定义代码。

第二个漏洞出在 OpenAI 中央单点登录（SSO）系统的配置错误上。任何控制了论坛服务器的人，都可以冒充活跃论坛成员，接管他们的 ChatGPT 和 Codex 账号。Hacktron 写道，这个问题不止影响论坛——任何使用 OpenAI 登录的失陷服务都会带来同样的权限。

Claude Opus 5 成功做到了前代模型做不到的事

研究人员表示，他们最初用 Claude Opus 4.8 来寻找该漏洞。这个模型能构建出可用的 exploit，但前提是必须关闭 ASLR 这种常见的内存攻击防御机制。在多次会话中，它都无法在 ASLR 开启的情况下产出可靠版本。

7 月 24 日晚，Anthropic 发布了 Claude Opus 5。据 Hacktron 称，新模型在三个小时内就为一个本地 Mac 造出了可用的 exploit，随后又将其适配到 Discourse 服务器环境。接着，研究人员让 Claude 以自主循环的方式对自己的测试实例发起攻击。

由于模型拒绝针对真实系统编写 exploit，他们便把目标包装成了一个基准测试任务。四小时后，这个 agent 已经接管了服务器。在一项相关任务上，研究人员还观察到它的表现明显超越了 OpenAI 的 GPT-5.6 Sol。

OpenAI 在收到报告约 14 小时后确认了修复。论坛所用的 Discourse 软件也在几天内做出了回应。

AI 正让攻击成本大幅下降

在攻破 OpenAI 之后，研究人员还扩大了这项代号 "HEIF Heist" 的调查范围，目标包括 Slack、Meta、GitHub Enterprise 等。整个项目由三个人在两个月内完成，AI 方面花费不足 3000 美元。把攻击适配到每个新目标只需一两天。尽管上传了数千张图片并反复导致图像处理崩溃，也只有 Shopify 注意到了这些活动。

Hacktron 团队写道，软件长期以来一直受益于某种“以复杂度换安全”的模式：即便源码公开、漏洞已知，要构建一个可靠的 exploit 仍需要稀缺的专业技能、大量时间以及对目标环境的深入了解。复杂度并非真正的安全屏障，但在实践中确实保护了许多公司。

AI 用算力取代了稀缺的专业能力，剥离了这层保护。Hacktron 认为，威胁模型必须反映攻击成本大幅降低的现实。该团队写道："过去需要一个资源充足团队耗费数月完成的工作，如今几天内就能搞定。"