Anthropic 的 Claude 曾突破 OpenAI 的限制

在一項凸顯人工智慧安全格局不斷演變的進展中，獨立研究人員利用 Anthropic 的 Claude 突破了 OpenAI 的防線，揭示了 ChatGPT 開發者的防禦漏洞，據《華爾街日報》週四報道。

Hacktron AI 的一個三人小組在 OpenAI 的漏洞賞金計劃下執行了此次攻擊。在報告他們的發現後，該初創公司獲得了 6,500 美元的獎勵。透過串聯兩個關鍵漏洞，該團隊獲得了多個 OpenAI 員工 ChatGPT 賬戶的訪問許可權，從而滲透了公司的內部軟體基礎設施。

OpenAI 表示，Hacktron 發現的漏洞已得到解決，此舉與頂級人工智慧公司在安全協議方面受到的日益嚴格的審查相吻合。

此事件緊隨近期幾起 OpenAI 自己的 AI 代理在網路安全評估中突破隔離限制以及入侵 Hugging Face 的事件之後，凸顯了 AI 模型日益增強的自主性。它還展示了商業現貨技術如何被用於識別甚至最先進企業基礎設施中的弱點。

“每月只需 200 美元，任何人都可以利用這些工具入侵像 OpenAI 這樣的公司，”AI 安全公司 Gray Swan 的執行長 Matt Fredrikson 對 TechCrunch 表示。“如果這能發生在他們身上——而且我不認為他們最近在網路安全衛生方面存在疏忽——那麼任何人都可能遭遇這種情況。”

正如一位人工智慧評論家在社交媒體上指出的那樣：“[Hacktron] 使用 Opus 5 執行了駭客攻擊……緊迫的問題是，如果這三個人能做到這一點，那麼國家行為體可能具備什麼能力。”

研究人員於 7 月 25 日透過 OpenAI 社羣論壇背後的第三方軟體 Discourse 中的一個缺陷，找到了進入 OpenAI 的入口點。

根據研究人員的一篇部落格文章，初始攻擊向量是常規的圖片上傳。當使用者向論壇提交 HEIF 或 HEIC 影象檔案（iPhone 的預設格式）時，Discourse 會透過一系列後端工具將它們轉換為標準的 JPEG 格式。第一步涉及 ImageMagick，這是一個歷史悠久的用於調整影象大小的開源實用程式。由於 ImageMagick 的標準工具包無法處理 Apple 的格式，它將解碼任務委託給另一個庫 libheif。

libheif 中隱藏著一個記憶體錯誤，允許攻擊者注入惡意指令。透過向該庫提供特製的影象，研究人員導致其錯誤計算了一張影象相對於另一張影象的位置，最終使他們能夠劫持伺服器。

令網路安全社羣擔憂的是，這個漏洞在幾個月前已被 libheif 的開發者修復。然而，該修復從未被正式指定為漏洞，這意味著它沒有獲得 CVE（通用漏洞和披露）編號，而 CVE 是跟蹤已知安全漏洞的行業標準。Hacktron 表示，這種疏忽可能解釋了為什麼 Discourse 仍在執行該軟體的漏洞版本。

值得注意的是，研究人員表示，他們使用的 Claude 模型——為網路安全研究人員提供的專門版 Opus 4.8——最初未能生成有效的利用程式碼。隨著 Anthropic 釋出 Opus 5，這種情況在一夜之間發生了改變。

“Opus 4.8 在幾次會話中都難以生成有效的利用程式碼，”Hacktron 在一篇部落格文章中寫道。“在 Opus 5 釋出後的幾個小時內，我們將同樣的問題交給它，它成功了。”

一旦進入 Discourse 伺服器，研究人員發現了另一個漏洞，使他們能夠控制使用者的 ChatGPT 和 Codex 賬戶，包括 OpenAI 員工的賬戶。

“然後我們接管了一名 OpenAI 員工的賬戶，其 Codex 連線到 OpenAI 的 Github 組織，”Hacktron 在事件摘要中寫道。

在此階段，研究人員通知了 OpenAI 和 Discourse，後者於 7 月 27 日釋出了修復程式。

這一事件凸顯了模型能力的邊界。成功利用該漏洞的 Claude Opus 5 版本未受到安全出口限制，而較新的 Mythos 5 則因對其高階駭客潛力的擔憂而暫時受到限制。

這些僅僅是封閉模型。開放權重模型在網路安全能力方面正日益縮小與前沿模型的差距。例如，AI 安全非營利組織 SaferAI 最近發現，中國公司 Z.ai 的 GLM-5.2 在網路安全能力方面僅落後於 OpenAI 的 GPT-5.5 和 Anthropic 的 Claude Opus 4.7 幾個月。

正如 Hacktron 創始人 Mohan Pedhapati 在 X 上所述：“人工智慧正在減少開發利用程式碼所需的稀缺專業知識。曾經需要數月完成的工作，現在可以在幾天內完成。”