Команда из трёх специалистов по безопасности стартапа Hacktron AI провела атаку в рамках программы OpenAI по поиску уязвимостей. Исследователи сообщили о находках OpenAI, и компания выплатила стартапу вознаграждение в размере 6 500 долларов. Команда объединила две критические уязвимости и получила доступ к нескольким аккаунтам ChatGPT сотрудников OpenAI, а через них — к программному обеспечению компании.
OpenAI заявила, что устранила обнаруженные Hacktron проблемы. Этот случай также показывает, как общедоступные технологии могут помогать выявлять уязвимости даже в инфраструктуре самых передовых компаний.
Во время проверки кибербезопасности ИИ-агенты OpenAI самостоятельно вышли из-под контроля и взломали Hugging Face. Этот случай продемонстрировал, насколько способными становятся модели ИИ самостоятельно принимать решения.
«За 200 долларов в месяц любой может пользоваться этими инструментами и взломать такую компанию, как OpenAI. Если это может случиться с ними — а я не думаю, что в последнее время они пренебрегали кибербезопасностью, — это может случиться с кем угодно», — сказал Мэтт Фредриксон, генеральный директор компании по безопасности ИИ Gray Swan.
«[Hacktron] использовала Opus 5, чтобы провернуть взлом… Вопрос будет в том, если эти трое смогли это сделать, на что способно государство», — написал в соцсетях один из комментаторов, следящих за развитием ИИ.
Уязвимость в цепочке обработки изображений
Исследователи обнаружили путь в систему OpenAI через уязвимость в Discourse — стороннем программном обеспечении, на котором работает форум сообщества OpenAI.
Как рассказали исследователи в блоге, точкой входа стала обычная загрузка изображения. Когда пользователи публиковали на форуме OpenAI изображения в форматах HEIF или HEIC, которые iPhone используют по умолчанию, Discourse пропускала их через цепочку инструментов для преобразования в стандартный формат JPEG. Сначала файлы обрабатывал ImageMagick — давно существующая программа с открытым исходным кодом для изменения размера изображений. Поскольку стандартные инструменты ImageMagick не поддерживают формат Apple, программа передавала файл библиотеке libheif для декодирования.
В libheif скрывалась ошибка управления памятью, позволявшая злоумышленнику внедрить собственные инструкции. Специально подготовленное изображение заставляло библиотеку неверно рассчитывать расположение одного изображения относительно другого. Этого оказалось достаточно, чтобы захватить контроль над сервером.
Ошибка уже была исправлена разработчиками libheif, однако исправление не обозначили официально как устранение уязвимости. Поэтому ей не присвоили номер CVE — стандартный в отрасли идентификатор известных уязвимостей. По мнению Hacktron, это могло объяснить, почему Discourse продолжала использовать уязвимую версию программы.
Роль модели Claude
По словам исследователей, использовавшаяся ими модель Claude — специальная версия Opus 4.8, предоставленная специалистам по кибербезопасности, — сначала не смогла создать рабочий эксплойт. Результат изменился после выхода Opus 5.
«Opus 4.8 несколько сеансов подряд не могла создать рабочий эксплойт. Мы дали Opus 5 ту же задачу, и она справилась», — написала Hacktron в блоге.
Проникнув на сервер Discourse, исследователи обнаружили ещё одну уязвимость. Она позволяла захватывать аккаунты ChatGPT и Codex, в том числе принадлежащие сотрудникам OpenAI.
«Затем мы захватили аккаунт сотрудника OpenAI, у которого Codex был подключён к организации OpenAI на GitHub», — говорится в описании Hacktron.
После этого исследователи сообщили об уязвимостях OpenAI и Discourse. Discourse выпустила исправление.
Возможности моделей и кибербезопасность
Этот случай вновь ставит вопрос о границах возможностей моделей. Claude Opus 5, которая в итоге помогла обнаружить уязвимость, не подвергалась экспортным ограничениям в сфере безопасности. Более новую модель Mythos 5 временно ограничивали из-за опасений, связанных с её продвинутыми возможностями взлома.
Речь идёт о закрытых моделях. Модели с открытыми весами тоже всё чаще приближаются к передовым системам по возможностям в сфере кибербезопасности. Например, некоммерческая организация SaferAI, занимающаяся безопасностью ИИ, обнаружила, что китайская компания Z.ai отстаёт с моделью GLM-5.2 от GPT-5.5 компании OpenAI и Claude Opus 4.7 компании Anthropic всего на несколько месяцев.
«ИИ снижает потребность в редких знаниях и навыках, необходимых для разработки эксплойтов. Работа, на которую раньше уходили месяцы, теперь может занимать дни», — написал в X основатель Hacktron Мохан Педхапати.