Клод от Anthropic ранее использовался для взлома OpenAI

В событии, подчеркивающем меняющийся ландшафт безопасности искусственного интеллекта, независимые исследователи использовали Claude от Anthropic для взлома OpenAI, выявив уязвимости в защите разработчика ChatGPT, как сообщило The Wall Street Journal в четверг.

Команда из трех человек из Hacktron AI осуществила эксплуатацию уязвимости в рамках программы OpenAI по вознаграждению за обнаружение ошибок. После сообщения о своих выводах стартап получил вознаграждение в размере 6500 долларов. Скомбинировав две критические уязвимости, команда получила доступ к нескольким учетным записям ChatGPT сотрудников OpenAI, тем самым проникнув во внутреннюю программную инфраструктуру компании.

OpenAI заявляет, что уязвимости, выявленные Hacktron, были устранены, что совпало с усилением внимания к ведущим компаниям в области искусственного интеллекта относительно протоколов безопасности.

Это событие следует за недавними инцидентами, когда собственные ИИ-агенты OpenAI нарушили изоляцию во время кибербезопасных оценок и взломали Hugging Face, что подчеркивает растущую автономию моделей ИИ. Это также демонстрирует, как коммерческие технологии общего назначения могут быть использованы для выявления слабостей даже в самых передовых корпоративных инфраструктурах.

«За всего 200 долларов в месяц любой может использовать эти инструменты для взлома такой компании, как OpenAI», — сказал Matt Fredrikson, генеральный директор компании по безопасности ИИ Gray Swan, изданию TechCrunch. «Если это могло произойти с ними — и я не думаю, что они проявили халатность в своей кибергигиене в последнее время — это может произойти с кем угодно».

Как отметил один из комментаторов по искусственному интеллекту в социальных сетях: «[Hacktron] использовал Opus 5 для осуществления взлома… Главный вопрос заключается в том, если эти три человека могут этого добиться, что может быть способно государство-нация».

Исследователи обнаружили точку входа в OpenAI 25 июля благодаря ошибке в Discourse, стороннем программном обеспечении, обеспечивающем работу форума сообщества OpenAI.

Согласно публикации в блоге исследователей, первоначальным вектором была обычная загрузка изображений. Когда пользователи отправляли файлы изображений в форматах HEIF или HEIC (формат по умолчанию для iPhone) на форум, Discourse обрабатывала их через ряд инструментов на стороне сервера для преобразования в стандартные JPEG. Первый этап включал ImageMagick, давно существующую утилиту с открытым исходным кодом для изменения размера изображений. Поскольку стандартный набор инструментов ImageMagick не может обрабатывать формат Apple, он делегировал задачу декодирования другой библиотеке, libheif.

Скрытая внутри libheif ошибка памяти позволила злоумышленнику внедрить вредоносные инструкции. Предоставив библиотеке специально созданное изображение, исследователи заставили ее неправильно рассчитать позиционирование одного изображения над другим, что в конечном итоге позволило им захватить сервер.

То, что может обеспокоить сообщество по кибербезопасности, заключается в том, что этот баг был исправлен разработчиками libheif несколько месяцев назад. Однако исправление никогда не было официально признано уязвимостью, что означает, что оно не получило номер CVE (Common Vulnerabilities and Exposures), отраслевого стандарта для отслеживания известных проблем безопасности. Hacktron предполагает, что этот упущение может объяснить, почему Discourse все еще использовала уязвимую версию программного обеспечения.

Примечательно, что исследователи сообщили, что модель Claude, которую они использовали — специализированная версия Opus 4.8, предоставленная исследователям по кибербезопасности — изначально не смогла сгенерировать рабочую эксплуатацию. Это изменилось в течение ночи после выпуска Opus 5 от Anthropic.

«Opus 4.8 с трудом генерировала рабочую эксплуатацию в течение нескольких сеансов», — написали Hacktron в своем блоге. «В течение нескольких часов после выпуска Opus 5 мы дали ей ту же задачу, и она справилась».

Оказавшись внутри сервера Discourse, исследователи обнаружили еще одну ошибку, которая позволила им взять под контроль учетные записи ChatGPT и Codex пользователей, включая те, что принадлежат сотрудникам OpenAI.

«Затем мы захватили учетную запись сотрудника OpenAI, чей Codex был подключен к организации Github OpenAI», — написали Hacktron в своем резюме инцидента.

На этом этапе исследователи уведомили как OpenAI, так и Discourse, последняя из которых выпустила исправление 27 июля.

Этот инцидент подчеркивает границы возможностей моделей. Claude Opus 5, версия, успешно эксплуатировавшая баг, не подвергалась ограничениям на экспорт безопасности, в отличие от более новой Mythos 5, которая была временно ограничена из-за опасений по поводу ее продвинутых возможностей взлома.

Это всего лишь закрытые модели. Модели с открытым исходным кодом все больше сокращают разрыв в кибервозможностях с передовыми моделями. Например, некоммерческая организация по безопасности ИИ SaferAI недавно обнаружила, что китайская компания Z.ai’s GLM-5.2 отставала от OpenAI’s GPT-5.5 и Anthropic’s Claude Opus 4.7 всего на несколько месяцев с точки зрения кибервозможностей.

Как заявил основатель Hacktron Mohan Pedhapati в X: «Искусственный интеллект сокращает количество дефицитной экспертизы, необходимой для разработки эксплойтов. Работа, которая раньше занимала месяцы, теперь может быть выполнена за дни».