Ανεξάρτητοι ερευνητές ασφαλείας χρησιμοποίησαν το Claude της Anthropic για να εισβάλουν στα συστήματα της OpenAI, αποκαλύπτοντας κενά στις άμυνες της εταιρείας πίσω από το ChatGPT. Την είδηση μετέδωσε το Wall Street Journal.
Την επίθεση πραγματοποίησε μια τριμελής ομάδα ασφαλείας της startup Hacktron AI, στο πλαίσιο του προγράμματος bug bounty της OpenAI. Συνδυάζοντας δύο κρίσιμες ευπάθειες, οι ερευνητές απέκτησαν πρόσβαση σε πολλαπλούς λογαριασμούς ChatGPT υπαλλήλων της OpenAI και, μέσω αυτών, στο ίδιο το λογισμικό της εταιρείας. Για τα ευρήματα που ανέφεραν, η OpenAI τους απένειμε αμοιβή 6.500 δολαρίων.
Η OpenAI έχει πλέον διορθώσει τα ζητήματα που εντόπισε η ομάδα, σε μια περίοδο όπου οι κορυφαίες εταιρείες AI βρίσκονται υπό αυξανόμενη πίεση για την ασφάλειά τους.
Το συμβάν έρχεται λίγες εβδομάδες αφότου agents της OpenAI ξέφυγαν από τον έλεγχο κατά τη διάρκεια μιας αξιολόγησης κυβερνοασφάλειας και παραβίασαν την Hugging Face, δείχνοντας πόσο ικανά γίνονται τα μοντέλα AI στο να παίρνουν αυτόνομες αποφάσεις. Δείχνει επίσης πόσο εύκολα εργαλεία που διατίθενται ελεύθερα στην αγορά μπορούν να στραφούν στον εντοπισμό ευπαθειών ακόμη και στην υποδομή των πιο προηγμένων εταιρειών.
«Με 200 δολάρια τον μήνα, ο καθένας μπορεί να χρησιμοποιήσει αυτά τα εργαλεία και να εισβάλει σε μια εταιρεία όπως η OpenAI», δήλωσε στο TechCrunch ο Matt Fredrikson, CEO της εταιρείας κυβερνοασφάλειας AI Gray Swan. «Αν μπορεί να συμβεί σε εκείνους, και δεν νομίζω ότι έχουν αμελήσει πρόσφατα τη βασική τους κυβερνοασφάλεια, μπορεί να συμβεί σε οποιονδήποτε.»
Ένας αναλυτής AI σχολίασε στα social media: «[Η Hacktron] χρησιμοποίησε το Opus 5 για να εκτελέσει την επίθεση… Το ερώτημα που θα τεθεί είναι: αν τα κατάφεραν αυτοί οι τρεις, τι μπορεί να κάνει ένα κράτος;»
Η είσοδος στα συστήματα της OpenAI εντοπίστηκε στις 25 Ιουλίου, μέσα από ένα κενό στο Discourse, το λογισμικό τρίτου κατασκευαστή που τροφοδοτεί το φόρουμ της κοινότητας της OpenAI. Το σημείο εισόδου ήταν μια απλή μεταφόρτωση εικόνας.
Όταν κάποιος ανέβαζε αρχεία HEIF ή HEIC (τη μορφή που χρησιμοποιούν από προεπιλογή τα iPhone) στο φόρουμ, το Discourse τα περνούσε από μια σειρά εργαλείων που τρέχουν στο παρασκήνιο για να τα μετατρέψει σε τυπικά JPEG. Πρώτος σταθμός ήταν το ImageMagick, ένα εργαλείο ανοιχτού κώδικα δεκαετιών που χρησιμοποιείται για την αλλαγή μεγέθους εικόνων. Επειδή δεν μπορεί να επεξεργαστεί τη μορφή της Apple, μεταβίβαζε το αρχείο σε μια άλλη βιβλιοθήκη, τη libheif, για την αποκωδικοποίηση.
Μέσα στη libheif κρυβόταν ένα σφάλμα μνήμης που άνοιγε δρόμο σε έναν επιτιθέμενο να εισάγει δικές του εντολές. Τροφοδοτώντας τη βιβλιοθήκη με μια ειδικά κατασκευασμένη εικόνα, την ανάγκαζαν να υπολογίσει λανθασμένα τη θέση της μίας εικόνας πάνω στην άλλη, κάτι που αποδείχθηκε αρκετό για να αποκτήσει κανείς τον έλεγχο του server.
Το ανησυχητικό για την κοινότητα της κυβερνοασφάλειας είναι ότι το σφάλμα είχε ήδη διορθωθεί μήνες νωρίτερα από τους προγραμματιστές της libheif. Η διόρθωση όμως δεν καταχωρίστηκε επίσημα ως ευπάθεια, οπότε δεν έλαβε ποτέ αριθμό CVE (Common Vulnerabilities and Exposures), το πρότυπο που χρησιμοποιεί ο κλάδος για την καταγραφή γνωστών αδυναμιών ασφαλείας. Αυτό ίσως εξηγεί γιατί το λογισμικό πίσω από το Discourse εξακολουθούσε να τρέχει την ευάλωτη έκδοση.
Το μοντέλο Claude που χρησιμοποιούσαν οι ερευνητές, μια ειδική έκδοση του Opus 4.8 διαθέσιμη για ερευνητές κυβερνοασφάλειας, δεν κατάφερε αρχικά να δημιουργήσει ένα λειτουργικό exploit. Αυτό άλλαξε από τη μια μέρα στην άλλη, με την κυκλοφορία του Opus 5.
«Το Opus 4.8 δυσκολεύτηκε σε πολλαπλές συνεδρίες να παράγει ένα λειτουργικό exploit», έγραψε η Hacktron AI στο blog της. «Μέσα σε λίγες ώρες από την κυκλοφορία του Opus 5, του δώσαμε το ίδιο πρόβλημα και τα κατάφερε.»
Μόλις βρέθηκαν μέσα στον server του Discourse, οι ερευνητές ανακάλυψαν άλλο ένα κενό, που τους επέτρεπε να αναλάβουν τον έλεγχο λογαριασμών ChatGPT και Codex, ανάμεσά τους και λογαριασμών υπαλλήλων της OpenAI. «Στη συνέχεια αναλάβαμε τον έλεγχο του λογαριασμού ενός υπαλλήλου της OpenAI, του οποίου το Codex ήταν συνδεδεμένο με τον οργανισμό της OpenAI στο GitHub», έγραψε η ομάδα στην περίληψη της υπόθεσης.
Σε εκείνο το σημείο, οι ερευνητές ειδοποίησαν τόσο την OpenAI όσο και το Discourse, το οποίο εξέδωσε διόρθωση στις 27 Ιουλίου.
Η υπόθεση φέρνει στο επίκεντρο το ερώτημα του πού τίθενται τα όρια στις δυνατότητες των μοντέλων. Το Claude Opus 5, η έκδοση που τελικά εκμεταλλεύτηκε το σφάλμα, δεν έχει αντιμετωπίσει περιορισμούς εξαγωγής για λόγους ασφαλείας, σε αντίθεση με το νεότερο Mythos 5, που τέθηκε υπό προσωρινούς περιορισμούς λόγω ανησυχιών για τις προηγμένες ικανότητές του στο hacking.
Οι περιορισμοί αυτοί αφορούν μόνο τα κλειστά μοντέλα. Τα μοντέλα ανοιχτών βαρών πλησιάζουν ολοένα και περισσότερο τα κορυφαία μοντέλα στην κυβερνοασφάλεια: η μη κερδοσκοπική SaferAI διαπίστωσε πρόσφατα ότι το GLM-5.2 της κινεζικής Z.ai υστερεί μόλις λίγους μήνες σε σχέση με το GPT-5.5 της OpenAI και το Claude Opus 4.7 της Anthropic.
«Η AI μειώνει την εξειδικευμένη γνώση που χρειάζεται για να αναπτύξει κανείς exploits. Δουλειά που κάποτε απαιτούσε μήνες μπορεί πλέον να γίνει σε μέρες», δήλωσε ο ιδρυτής της Hacktron, Mohan Pedhapati, σε ανάρτησή του στο X.
