Claude Opus 5 Bantu Penyelidik Rampas Akaun Staf OpenAI

Claude Opus 5 Bantu Penyelidik Rampas Akaun Staf OpenAI

Tiga penyelidik dari firma keselamatan Hacktron berjaya merangkaikan bug memory-corruption dalam library libheif dengan kelemahan pada sistem log masuk OpenAI. Hasilnya mereka merampas akaun ChatGPT dan Codex beberapa pekerja OpenAI, sekali gus sampai ke repository dalaman syarikat - semuanya dalam masa kurang 72 jam.

Ini ialah research keselamatan yang bertanggungjawab, bukan serangan sebenar. Pasukan itu melaporkan semuanya kepada OpenAI, membuktikan akses dengan membuka satu pull request yang tidak berbahaya dalam monorepo dalaman, kemudian berhenti. OpenAI mengesahkan pembetulan kira-kira 14 jam selepas laporan dihantar, dan membayar hadiah bug bounty $6,500 pada 1 September.

Ada dua perkara yang menjadikan kes ini penting untuk kita baca. Pertama, sejauh mana Claude Opus 5 dari Anthropic mengambil alih kerja kejuruteraan exploit. Kedua - dan ini lebih relevan untuk kebanyakan pasukan - bagaimana bug pada forum bantuan awam boleh menjadi laluan ke repository dalaman. Ini bukan masalah forum. Ini masalah reka bentuk identiti.

Rantaian serangan dari hujung ke hujung

Laporan Hacktron memecahkan keseluruhan rantaian kepada sembilan lapisan:

1. libheif         -> image decoder (heap buffer overflow in HEIC decoding)
2. Debian 12       -> missing security backport, ships vulnerable libheif
3. ImageMagick     -> calls libheif for HEIC/HEIF conversion
4. Discourse       -> passes image uploads to ImageMagick
5. OpenAI forum    -> community.openai.com runs Discourse
6. OpenAI SSO      -> "Sign in with OpenAI" on the forum
7. ChatGPT / Codex -> accounts of forum members who worked at OpenAI
8. GitHub          -> an employee's Codex was connected to OpenAI's GitHub org
9. Internal repos  -> openai/openai monorepo

Titik masuknya mudah disangka remeh. Forum OpenAI berjalan di atas Discourse, dan Discourse biasanya guna FastImage untuk memeriksa upload - tetapi FastImage tidak menyokong HEIF, jadi fail HEIC/HEIF diserahkan kepada arahan magick dalam ImageMagick. ImageMagick pula duduk di atas libheif, dan itulah yang mendedahkan decoder terus kepada fail yang dikawal penyerang.

Imej HEIC yang direka khas mencetuskan heap buffer overflow yang menghasilkan out-of-bounds read/write primitives ketika decoding. Ini akhirnya bertukar menjadi remote code execution pada server forum.

Kenapa bug forum boleh sampai ke akaun staf

Bahagian paling menarik ialah escalation itu sendiri - dan ia bukan bug Discourse. Forum boleh dibuka dengan "Sign in with OpenAI", single sign-on yang sama digunakan staf di tempat lain. Sebaik penyelidik menguasai server forum, log masuk kongsi itu membolehkan mereka merampas akaun ChatGPT dan Codex ahli forum yang bekerja di OpenAI - mangsa tidak perlu melakukan apa-apa.

Hacktron menyuarakannya dengan tepat: ini masalah identiti OpenAI, bukan masalah forum. Mana-mana perkhidmatan pihak pertama atau ketiga yang memakai SSO yang sama berpotensi memberikan akses yang serupa. Discourse cuma salah satu cara untuk membuktikannya. Dan memandangkan staf menyambungkan pelbagai perkhidmatan lain ke ChatGPT dan Codex, akses yang sama secara teori boleh merangkumi GitHub, Slack, dan email.

Untuk membuktikan impak tanpa menyentuh apa-apa yang sensitif, pasukan menggunakan Codex salah seorang pekerja untuk membuka satu pull request (PR #1186742) dalam monorepo dalaman openai/openai. Mereka tidak membaca source code, tidak menggabungkan atau menghantar apa-apa, dan tidak menyentuh data pelanggan. Selepas itu mereka berhenti.

AI yang lakukan kerja paling sukar

Perjalanan exploit bermula pada 23 Julai, apabila pasukan menyemak pipeline imej Discourse dan menyuruh sesi Opus 4.8 memeriksa pakej libheif yang dipasang. Model itu mengesan bahawa pembetulan keselamatan tidak dimuatkan dalam versi yang dihantar Debian. Pada 24 Julai penyelidik sudah ada exploit code-execution yang berfungsi dengan ASLR dimatikan - tetapi beberapa sesi tambahan gagal menjadikannya boleh dipercayai menentang konfigurasi sebenar Discourse dengan ASLR diaktifkan.

Malam itu juga, Anthropic melancarkan Claude Opus 5. Sesi Opus 5 yang baharu menghasilkan exploit ARM64 yang berfungsi untuk Mac tempatan dalam masa tiga jam, kemudian memportnya ke persediaan x86-64 + jemalloc yang digunakan Discourse. Menjelang 6:00 pagi pada 25 Julai, RCE tempatan melalui image upload sudah disahkan.

Safeguard model pula menjadi penghalang pada langkah seterusnya: Opus 5 enggan menulis exploit untuk instance jauh. Jadi penyelidik mengarahkannya kepada instance Discourse Cloud milik mereka sendiri, diproksi melalui rce.ee/ctf-forum supaya kelihatan seperti target capture-the-flag, dan membiarkannya berjalan dalam loop automatik /goal. Menjelang 10:00 pagi agent itu sudah mendapat RCE pada instance itu, dibuktikan dengan membaca /etc/hosts. Kemudian manusia menggunakan skrip exploit yang dijana itu terhadap forum OpenAI yang sebenar.

Hacktron menegaskan ini bukan hacking automatik tanpa kawalan - arahan manusia yang mahir tetap penting pada setiap langkah. Tetapi masa dan kepakaran yang dahulu diperlukan untuk menjadikan memory corruption itu sebagai senjata runtuh daripada berminggu-minggu kepada beberapa jam sahaja.

Dua punca sebenar di sebalik kejadian ini

Jurang dependency. Kod berbahaya itu sebenarnya sudah diubah upstream pada tahun sebelumnya, tetapi commit itu tidak didokumenkan sebagai pembetulan keselamatan dan tidak menerima CVE - mungkin sebab itulah Debian 12 dan 13 tidak memuatkan backport tepat pada masanya. Imej Discourse (berasaskan Debian 12) dibina dengan libheif 1.19.7; Debian 13 dibina dengan 1.19.8. Pembetulan sebenarnya sudah tiba di upstream dalam libheif 1.22.0 sejak Mei 2026 - berbulan-bulan sebelum ujian ini. Debian hanya menerbitkan security update sendiri (DSA-6417-1) pada 8 Ogos 2026.

Ada satu butiran kecil dalam cara bug ini digambarkan. Advisory Discourse menilai hasilnya sebagai remote code execution, 8.8 daripada 10, berdaftar sebagai CVE-2026-32882. Tetapi dalam advisory libheif sendiri dan pangkalan data nasional, CVE-2026-32882 ialah out-of-bounds read yang boleh menjadikan software ranap atau membocorkan memori berdekatan - bukan bug code-execution secara langsung. Penyelidik menggabungkan bug memory libheif dengan bantuan AI untuk mengalahkan ASLR dan menjadikan crash itu code execution yang berfungsi.

Blast radius SSO. Inilah pengajaran yang paling umum. Perkhidmatan awam berisiko rendah yang berkongsi single sign-on dengan tools dalaman bermakna kebocoran pada perkhidmatan itu hanyalah satu hop daripada segala-galanya. Pembetulan OpenAI berlaku pada bahagian log masuk; anugerah itu "mengiktiraf penemuan di bahagian OpenAI, bukan tindakan terhadap Discourse," kata OpenAI, kerana menguji forum itu sendiri berada di luar program bug bounty mereka. Tiada tanda bahawa kelemahan ini digunakan di dunia sebenar - setakat pertengahan September 2026 ia belum tersenarai dalam senarai kelemahan yang diketahui telah dieksploitasi kerajaan AS, walaupun senarai itu bukan bukti kukuh.

Apa yang patut anda buat sekiranya ini dalam stack anda

Jika anda self-host Discourse, bahagian ini terus menyentuh anda. Hacktron mengingatkan bahawa kemas kini menerusi web-interface tidak semestinya menggantikan library lama - anda perlu bina semula imej container:

cd /var/discourse
git pull
./launcher rebuild app

Tapak yang dihoskan Discourse sudah ditampal; release self-hosted yang diperbetulkan ialah 2026.7.0, 2026.6.1, 2026.5.2, dan 2026.1.6. Selain itu:

• Kemas kini libheif kepada release keselamatan terbaru - 1.23.4 setakat awal September 2026 - atau kepada build yang sudah dipatch oleh edaran anda. Jika anda menerima upload HEIC/HEIF/AVIF, build lama library tunggal inilah pendedahan anda.
• Matikan decoding HEIF/AVIF yang tidak dipercayai jika tidak diperlukan, atau jalankan image processing di dalam sandbox yang keras dan ephemeral. Basic security policy ImageMagick boleh mengehadkan format yang diterima.
• Hadkan perkhidmatan yang dipercayai oleh single sign-on anda, dan minta semakan identiti baharu untuk tindakan sensitif daripada bergantung pada sesi sedia ada. Batas kepercayaan, bukan trend yang hangat pada masa itu, yang memisahkan forum awam daripada repo dalaman.

Gambaran lebih luas: HEIF Heist

Kes ini ialah satu daripada sasaran dalam projek Hacktron yang dipanggil HEIF Heist: dalam masa lebih kurang dua bulan, kelas bug image-decoding yang sama ditemui dalam software yang digunakan syarikat besar lain, dengan kos keseluruhan di bawah $3,000 untuk penggunaan AI. Projek ini mengaitkan kempen dengan bug yang dilaporkan dalam Slack, produk Meta, GitHub Enterprise, dan web frameworks seperti Next.js.

Tuntutan luas ini tidak semuanya disokong sama rata. Kelemahan Next.js disahkan dalam advisory Vercel sendiri, dan penyelenggara libheif mengesahkan exploit code-execution yang berfungsi untuk bug yang dikaitkan dengan Meta - tetapi tuntutan code execution merentas banyak aplikasi belum disahkan secara bebas. Hanya satu syarikat, Shopify, yang kelihatan menyedari, walaupun image processor mereka berkali-kali ranap semasa beribu upload ujian dihantar. Sepanjang kempen, pasukan menggunakan GPT-5.6 Sol daripada OpenAI sendiri untuk sasaran yang tiada maklumat awal mengenainya.

Pengajaran bukan "AI itu menakutkan"

Model yang semakin berkemampuan sedang menjatuhkan dengan mendadak kos kerja serangan - Anthropic sendiri melaporkan bahawa kumpulan jenayah dan pelakon yang disokong negara sudah menggunakan Claude untuk intrusion sebenar. Anggap ekonomi yang sama turut terpakai kepada anda.

Tetapi dua perkara yang menjadikan rantaian Hacktron berfungsi boleh dibaiki hari ini tanpa menyentuh AI langsung: Jangan biarkan perkhidmatan awam berisiko rendah berkongsi sempadan identiti dengan tools dalaman, dan berhenti membiarkan image parser yang tidak dipercayai berjalan dengan keistimewaan proses yang menghoskan parser itu. Perbaiki kedua-duanya dan exploit terbaik di dunia tiada tempat untuk menyambung rantaian.

Untuk konteks lanjut tentang bagaimana AI agents diseret masuk ke dalam intrusion sebenar, liputan kami tentang worm Shai-Hulud yang merampas sesi coding AI mendokumenkan trend yang sama dari sudut supply-chain, dan serangan PaperCut menunjukkan betapa cepat alat bantuan AI menjadikan kelemahan yang diketahui sebagai serangan besar-besaran.

Sumber

• Hacktron: Hacking OpenAI
• The Hacker News: Claude Opus 5 Helped Researchers Take Over OpenAI Staff Accounts via Chained Flaws
• Discourse: Discourse Security Advisory GHSA-vhm9-85gw-x335
• NIST NVD: CVE-2026-32882
• libheif (strukturag): libheif v1.23.4 security maintenance release
• Hacktron: HEIF Heist
• The Hacker News: Next.js Patches Critical AVIF and Image Handling Flaws
• The Hacker News: Claude Used to Automate Exploitation