Фахівці з безпеки Hacktron AI розповіли, як їм вдалося пройти шлях від виявлення першої вразливості до повного контролю над внутрішніми репозиторіями OpenAI менш ніж за три доби. Головну роль у цьому процесі відіграла мовна модель Claude, а саме версія Claude Opus 5, яка вийшла буквально під час дослідження.

Дві вразливості склалися в один ланцюжок

25 липня 2026 року дослідники Гарш Джайсвал, Мохан Педхапаті та Рахул Майні з Hacktron об'єднали дві критичні вразливості й отримали контроль над обліковими записами ChatGPT кількох працівників OpenAI. Такий доступ відкривав шлях до внутрішніх репозиторіїв компанії та потенційно до багатьох інших підключених сервісів.

Аби продемонструвати реальність загрози, не торкаючись при цьому конфіденційних даних, команда скористалася облікованим записом Codex одного зі співробітників і відкрила через нього pull request у внутрішньому монорепозиторії OpenAI.

В основі атаки лежали дві окремі проблеми:

  • Переповнення буфера купи (heap buffer overflow) у бібліотеці libheif, що обробляє зображення формату HEIC/HEIF
  • Помилка налаштування single sign-on (SSO) OpenAI, через яку компрометація корпоративного форуму відкривала доступ до облікових записів ChatGPT і Codex

Дослідники зазначають, що до виправлення будь-хто, хто заходив на офіційний форум допомоги OpenAI (community.openai.com), ризикував втратити контроль над своїми акаунтами ChatGPT і Codex, а разом із ними — і над підключеними сервісами, серед яких GitHub, Slack та електронна пошта.

Discourse і механізм автентифікації як вхідні двері

Форум OpenAI побудований на движку Discourse і підтримує вхід через «Sign in with OpenAI» на базі auth.openai.com. Саме через цей механізм автентифікації дослідники припустили, що злам форуму може відкрити шлях до значно ширшої внутрішньої інфраструктури компанії.

23 липня команда почала аналізувати пайплайн завантаження зображень у Discourse і натрапила на нестандартний маршрут обробки файлів HEIC/HEIF. Штатний інструмент FastImage не вміє працювати з HEIF, тож такі файли передавалися на конвертацію команді magick з ImageMagick, а це давало прямий доступ до парсера libheif.

Далі команда запустила сесію моделі Opus 4.8 разом із Docker-образом Discourse і попросила її перевірити встановлену версію libheif на наявність вразливостей. Модель виявила, що частину критичних патчів безпеки не було перенесено в пакет — саме це спричиняло переповнення буфера купи під час декодування HEIC-файлів. Цікаво, що відповідне виправлення в основному репозиторії бібліотеки з'явилося ще роком раніше, але коміт не позначили як пов'язаний із безпекою і не видали для нього ідентифікатор CVE — через це Debian 12 і 13 не отримали патч своєчасно.

Реліз Opus 5 змінив темп роботи

24 липня за допомогою Opus 4.8 команда створила робочий експлойт для ImageMagick/libheif, але спрацьовував він лише за вимкненого ASLR — механізму рандомізації адресного простору, що ускладнює експлуатацію. Кілька окремих спроб із увімкненим ASLR результату не дали.

Того ж вечора компанія Anthropic випустила Claude Opus 5. У новій сесії модель усього за три години зібрала робочий експлойт для локальної машини на ARM64, після чого дослідники попросили адаптувати його під архітектуру x86-64 і алокатор jemalloc, який використовує Discourse. До шостої ранку 25 липня команда підтвердила локальне виконання довільного коду (RCE) через завантаження зображення.

Після цього Claude запустили в автономному режимі проти власного тестового інстансу Discourse Cloud, замаскованого під CTF-завдання, — модель відмовлялася напряму атакувати реальні чужі системи. Коли о 10 ранку дослідники перевірили прогрес, агент уже отримав RCE на Discourse Cloud, підтвердивши це прочитанням файлу /etc/hosts. За допомогою згенерованого скрипта команда виконала код уже на самому інстансі OpenAI.

Від форуму до внутрішнього репозиторію

Підтвердивши, що облікові записи ChatGPT і Codex можна захопити без будь-якої взаємодії з користувачем, дослідники негайно повідомили про це OpenAI. Далі вони отримали доступ до облікового запису одного зі співробітників, чий Codex був підключений до GitHub-організації компанії.

Щоб показати можливий вплив, не читаючи внутрішній код, команда надіслала промпт до Codex цього співробітника з проханням відкрити pull request у внутрішньому монорепозиторії, а після цього одразу зупинила будь-яке подальше тестування.

Дослідники наголошують, що сама вразливість підвищення прав не унікальна для Discourse — це проблема на рівні SSO OpenAI, яка перетворювала злам форуму на доступ до ChatGPT і Codex. Форум був лише одним із можливих шляхів це продемонструвати.

Реакція компаній і виплачена винагорода

Команда одразу повідомила про знахідку і OpenAI, і Discourse, координуючи з обома компаніями процес усунення проблеми.

  • 25 липня, 05:00–06:00 UTC — отримано RCE та адміністративний доступ до Discourse-інстансу community.openai.com
  • 25 липня, 08:00–10:00 UTC — подано звіт через програму Bug Bounty OpenAI на Bugcrowd
  • 25 липня, 13:30–15:30 UTC — створено демонстраційний PR у внутрішньому репозиторії OpenAI, тестування припинено
  • 25 липня, 22:49 UTC — OpenAI підтвердила усунення проблеми приблизно через 14 годин після подання звіту
  • 25 липня — звіт подано до Discourse через HackerOne
  • 28 липня — Discourse опублікувала офіційний бюлетень безпеки з патчем
  • 1 вересня — OpenAI виплатила винагороду $6500 і закрила звіт

OpenAI уточнила, що тестування безпосередньо проти community.openai.com формально не входило до умов програми bug bounty компанії, тож виплата стосується саме знахідки на стороні OpenAI, а не дій проти Discourse.

Масштабніший проєкт «HEIF Heist»

Ця історія — лише частина більшого багатомісячного дослідження під назвою HEIF Heist, у рамках якого команда простежила поширення вразливої бібліотеки libheif у Slack, Meta, GitHub Enterprise, Ruby on Rails, а також у фреймворках Next.js, Astro та Gatsby.

За словами представників Hacktron, злам Discourse і OpenAI забрав в агента кілька днів роботи, але лише декілька годин людського часу. Весь проєкт HEIF Heist тривав два місяці, коштував менш ніж $3000 у витрачених токенах і виконувався силами трьох дослідників — адаптація експлойту під кожну нову компанію зазвичай займала один-два дні.

Автори також звертають увагу на різницю між поколіннями моделей: там, де Opus 4.8 не міг обійти захист ASLR протягом кількох сесій, Opus 5 впорався з цим за кілька годин після релізу. Подібний стрибок команда фіксувала й в атаках «наосліп» — коли модель не мала жодної інформації про ціль, крім факту її вразливості: тут прогрес спостерігався від Opus 5 до GPT-5.6 Sol.

Жодна з атакованих компаній, окрім Shopify, не помітила підозрілої активності — навіть попри тисячі надісланих зображень, які регулярно призводили до аварійного завершення роботи обробників зображень.

ШІ прибирає цей бар'єр, перетворюючи дефіцитну експертизу на обчислювальні ресурси: те, що раніше вимагало команди фахівців і місяців роботи, тепер можна стиснути до кількох днів.

з висновків звіту Hacktron AI

Автори звіту наголошують: раніше програмне забезпечення до певної міри захищала «безпека через складність» — навіть публічно відома вразливість потребувала рідкісної експертизи, часу й глибокого знання цільового середовища, щоб перетворитися на робочий експлойт.

Нагадаємо, кілька тижнів тому Claude Opus 5 за один запит зібрав повноцінний шутер у стилі Call of Duty.

Джерело: Highload.tech