باحثون يستخدمون Claude لاختراق الأنظمة الداخلية لـ OpenAI ضمن سلسلة مكافآت الثغرات

في 25 يوليو 2026، استخدم فريق من ثلاثة أشخاص في شركة الأمن Hacktron AI نموذج Claude Opus 5 من Anthropic لربط ثغرتين والاستيلاء على حسابات ChatGPT وCodex التابعة لموظفي OpenAI، ثم استخدم أحد تلك الحسابات لفتح طلب سحب داخل مستودع الشيفرة المصدرية الداخلي لـ OpenAI. لم تكن نقطة الدخول صفحة تسجيل دخول أو مفتاح API: بل كانت رفع صورة على منتدى المساعدة العام التابع لـ OpenAI، community.openai.com، الذي يعمل ببرنامج المنتديات مفتوح المصدر Discourse. كانت الثغرة الثانية في تسجيل الدخول المشترك الخاص بـ OpenAI نفسه، لا في المنتدى. لم تُقرأ أي شيفرة مصدرية، ولم يُدمج أي شيء، ولم تُمس أي بيانات عملاء، ولا يسجل الأرشيف أي ضرر في العالم الواقعي — كان هذا بحثًا أمنيًا تم الإبلاغ عنه إلى المورّد، وليس هجومًا عليه. السجل مؤرخ في 18 سبتمبر 2026، وهو اليوم الذي أبلغت فيه TechCrunch عن الاكتشاف. يقع هذا الحادث إلى جانب الإدخالات الموثّقة الأخرى في أرشيف Orca AI للحوادث، حيث يحمل كل سجل مصادره الخاصة ودرجة خطورته وتصنيف ثقته وعلامة كونه محل نزاع.

هناك أمران يجعلان القضية أكثر من مجرد قصة ملوّنة عن مكافآت الثغرات. الأول هو السرعة: تقول Hacktron إن المسار كاملًا من أول اطلاع على المنتدى حتى امتلاك وصول إلى المستودع الداخلي استغرق أقل من 72 ساعة، وإن النموذج الذي بدأت به لم يكن قادرًا على إنجاز المهمة. والثاني هو تباين تخفيه الأرقام الرئيسية — فالثغرة التي تذكرها التغطية، CVE-2026-32882، مسجّلة على أنها حالة تجاوز لحدود القراءة تتسبب في تعطل البرامج أو تسريب الذاكرة، وليس كخلل في تنفيذ الشيفرة. وتصنّف نشرة Discourse الأمنية الخاصة بها النتيجة على أنها تنفيذ شيفرة عن بُعد. وكلاهما صحيح، والفرق بينهما هو حيث تكمن مساهمة الذكاء الاصطناعي فعليًا.

ما يقول Hacktron إنه وجده، ومتى

نشرت Hacktron تقريرها المفصل «Hacking OpenAI» على موقعها الخاص في 13 سبتمبر 2026. وذكرت صحيفة The Wall Street Journal الخبر مساء الخميس 17 سبتمبر، وفقًا لـ TechCrunch التي نشرت تقريرها يوم الجمعة 18 سبتمبر. وقد وقعت الأحداث الموصوفة قبل نحو ثمانية أسابيع، والجدول الزمني الخاص بـ Hacktron دقيق بشأنها:

• 23 يوليو 2026 — يتتبّع الفريق مسار رفع ملفات HEIF في Discourse عبر ImageMagick وصولًا إلى libheif، فيكتشف فيضان الكومة.

• 24 يوليو 2026 — يُنتج Claude Opus 4.8 استغلالًا فعّالًا لتنفيذ التعليمات البرمجية مع تعطيل ASLR، وهو دفاع التوزيع العشوائي القياسي للعناوين.

• 25 يوليو 2026، 06:00 UTC — باستخدام نموذج أحدث، يؤكد الفريق إمكانية تنفيذ التعليمات البرمجية محليًا بشكل موثوق عبر رفع صورة مع تفعيل ASLR.

• 25 يوليو 2026، 08:00–10:00 بالتوقيت العالمي المنسق — يقدّم الفريق تقريرًا عبر برنامج مكافآت الأخطاء التابع لـ OpenAI على منصة Bugcrowd.

• 25 يوليو 2026، 10:00 UTC — يعمل الاستغلال ضد نسخة Discourse Cloud الخاصة بالفريق ثم ضد منتدى OpenAI.

• 25 يوليو 2026، 13:30–15:30 UTC — يستخدم الفريق حساب Codex الخاص بأحد موظفي OpenAI لفتح طلب سحب غير ضار في المستودع الأحادي الداخلي لـOpenAI، ثم يتوقف عن الاختبار.

• 25 يوليو 2026، 22:49:45 UTC — تردّ OpenAI بتأكيد أنها أصلحت المشكلة، بعد نحو 14 ساعة من الإبلاغ الأولي.

• 28 يوليو 2026 — ينشر Discourse استشارة GHSA-vhm9-85gw-x335 مع إرشادات التصحيح وإعادة البناء.

• ١ سبتمبر ٢٠٢٦ — تدفع OpenAI مكافأة قدرها ٦٥٠٠ دولار وتضع التقرير في حالة "تم الحل".

التواريخ أعلاه هي تواريخ هاكترون، وليست إعادة بناء. فتاريخ النشر في 13 سبتمبر على منشوره الخاص، وتقرير وول ستريت جورنال في 17 سبتمبر، وقصة تك كرانش في 18 سبتمبر تشكّل تسلسلًا منفصلًا ولاحقًا: جرى العمل في يوليو، ونُشر المقال في منتصف سبتمبر.

كيف تحوّل رفع صورة إلى اختراق للخادم

تبدأ السلسلة بميزة عادية. يفحص Discourse عادةً الصور المرفوعة باستخدام مكتبة تُسمى FastImage، لكن FastImage لا يدعم HEIF، صيغة الحاوية التي تستخدمها أجهزة Apple للصور. لذلك كانت تلك الملفات تُمرَّر إلى أداة سطر الأوامر الخاصة بـ ImageMagick للتحويل، والتي كانت تُسلّمها إلى libheif لفك الترميز. وضع ذلك محلِّلًا مباشرةً أمام ملفات يتحكم بها المهاجم — وهو النمط نفسه الذي تستحضره قصة xkcd عن الاعتماديات، والذي يستشهد به Hacktron في مراجعه.

وجد Hacktron أن حزمة libheif المثبّتة في صورة Docker الخاصة بـ Discourse كانت تفتقر إلى إصلاحات أمنية. كانت صورة Discourse مبنية على Debian 12، التي ثبّتت libheif 1.19.7؛ وكانت Debian 13 لا تزال تشحن 1.19.8 آنذاك. يكمن الخطأ نفسه في HeifPixelImage::overlay()، التي تركّب صورة تراكب على صورة أساس. وفقًا للنشرة الإرشادية الخاصة بـ libheif، عندما يكون لطفل التراكب عمق بت مختلف لقناة ألفا عنه لقنوات الألوان، تُفهرس الدالة مستوى ألفا باستخدام stride قناة الألوان بدلًا من stride مستوى ألفا. مع صورة بأبعاد 100 × 50 بعمق لون 10 بت وألفا 8 بت، تحسب النشرة أن الشيفرة تقرأ 3,123 بايت بعد نهاية مخزن مؤقت سعة 7,168 بايت.

يمنح ذلك المهاجم ذاكرة كومة مسرّبة، وهو أمر مفيد في كسر عشوائية عناوين الذاكرة — لكنه ليس شلًا بحد ذاته. والانتقال من التسريب إلى التنفيذ هو الجزء الذي استلزم نموذجًا، وهو الجزء الذي لا يصفه CVE. ثم عبرت السلسلة حدود ثقة يرى Hacktron أنها القصة الحقيقية: فمنتدى OpenAI يتيح «Sign in with OpenAI» عبر auth.openai.com، وهو نفس تسجيل الدخول الموحّد الذي يستخدمه الموظفون في أماكن أخرى. وكان التحكم في خادم المنتدى يعني أن بإمكان الباحثين الاستيلاء على حسابات ChatGPT وCodex لأعضاء المنتدى الذين كانوا يعملون في OpenAI، دون أي تفاعل من الضحايا. وكما يعبّر Hacktron عن ذلك: «إن ثغرة التصعيد ليست خاصة بـDiscourse»، وأي خدمة من OpenAI تابعة لطرف أول أو طرف ثالث تستخدم تسجيل الدخول ذلك كانت ستمنح الوصول نفسه.

مُثبَت، ومُستنتَج

يُصنّف الأرشيف هذا السجل بدرجة ثقة A، وغير متنازع عليه، وبخطورة عالية، دون تسجيل أي ضرر حقيقي. هذه الحقول تصمد. لكن التقرير هو رواية فريق بحثي واحد، جرى تأييدها بدلاً من إعادة بنائها بشكل مستقل، ويجدر الفصل بين ما هو موثّق وما هو مُدّعى.

مُثبَت استنادًا إلى السجلات الأولية. يوجد CVE-2026-32882، ونُشر في 19 مايو 2026، ويؤثر على libheif 1.21.2 والإصدارات الأقدم، وتم إصلاحه في libheif 1.22.0. يمنح سجل MITRE له درجة 7.1، مع متجه هجوم عبر الشبكة، وتعقيد منخفض، وعدم اشتراط امتيازات، واشتراط تفاعل المستخدم، وتأثير منخفض على السرية ومرتفع على التوافر — انهيار أو تسريب للذاكرة. يتتبع تنبيه Discourse GHSA-vhm9-85gw-x335، المنشور في 28 يوليو 2026 والمنسوب إلى hacktronai-research، نفس CVE ويقيّم النتيجة بأنها عالية عند 8.8، مع اشتراط امتيازات منخفضة، وعدم وجود تفاعل من المستخدم، وتأثير مرتفع على الثلاثة جميعًا: السرية والنزاهة والتوافر. وهو يسرد الإصدارات المُرقّعة 2026.7.0 و2026.6.1 و2026.5.2 و2026.1.6، ويذكر أن أحدث صورة Docker تتضمن libheif المُرقّع.

أثبتته وسيلتان إعلاميتان مستقلتان. إن استخدام الباحثين لـ Claude للعثور على السلسلة وتسليحها، وأن اختراقًا لمنتدى أدى إلى الوصول إلى حسابات الموظفين، وأن OpenAI أصلحته في غضون نحو 14 ساعة ودفعت 6,500 دولار، وأن إثبات الوصول كان طلب سحب واحدًا، وأن OpenAI تقول إن اختبار المنتدى نفسه وقع خارج نطاق مكافآت الثغرات الخاص بها — كل ذلك يظهر في The Hacker News وTechCrunch، وكلتاهما تقتبسان مباشرةً من تقرير Hacktron.

أكّدتها Hacktron، ولم يتم التحقق منها بشكل مستقل. أما أن تنفيذ الشيفرة على المنتدى قد تحقق أصلاً بالطريقة الموصوفة — عبر حلقة وكيل مستقلة ونسخة اختبار عبر وسيط — فيستند إلى رواية Hacktron ولم يُعِدْه طرف ثالث؛ وتقول The Hacker News إنها تواصلت مع Hacktron بأسئلة حول كيفية تحقيق تنفيذ الشيفرة على المنتدى وحول نطاق الوصول إلى الحساب، ولا تذكر تلقّيها إجابات. أما الادعاء بأن فئة الخلل نفسها وصلت إلى Slack وMeta وGitHub Enterprise وأُطر عمل الويب فهو، بتقييم The Hacker News نفسها، "مدعوم بشكل غير متساوٍ": فعيب Next.js مؤكد في التقرير الاستشاري لـVercel، وأكّد القائمون على صيانة libheif وجود استغلال فعّال للخلل المرتبط بـMeta، لكن الادعاء الأوسع بتنفيذ الشيفرة عبر تطبيقات كثيرة لم يتم تأكيده بشكل مستقل. ولم تنشر OpenAI أي وصف تقني لعيب تسجيل الدخول على الإطلاق؛ بل أكّدت الاكتشاف عبر الإصلاح والدفع بدلاً من توثيق عمليات الاستيلاء على الحسابات.

لم يثبت ذلك على الإطلاق. كم عدد حسابات الموظفين التي كان يمكن الوصول إليها — تقول The Hacker News إنها "عدة"، بينما تقول TechCrunch إنها "متعددة"، ولا يقدم Hacktron أي رقم. وهل استُخدم هذا الخلل من قبل أي شخص آخر: تشير The Hacker News إلى عدم وجود أي دليل على استخدامه في الواقع، وتلاحظ أن CVE لم يكن مدرجًا في قائمة الحكومة الأمريكية للثغرات المعروفة بأنها مستغلة حتى منتصف سبتمبر 2026، مع التحذير من أن القائمة ليست دليلًا في أي من الاتجاهين. وما إذا كان ينبغي على المؤسسات التي طبّقت التصحيح بالفعل أن تواصل البحث عن أي وصول سابق — تقول The Hacker News إن المصادر صامتة بشأن هذه النقطة.

ما فعلته النماذج، وما فعله البشر

قفزة القدرات هي الجزء الذي يؤكد عليه Hacktron نفسه، وهي موثّقة بكلماته الخاصة لا مستنتجة. استخدم الفريق أولاً Claude Opus 4.8، في إصدار أُتيح لباحثي الأمن السيبراني، لفحص حزمة libheif المثبّتة وبناء استغلال مع تعطيل ASLR. ومع تفعيل ASLR، توقف عبر عدة جلسات. أصدرت Anthropic Claude Opus 5 في مساء 24 يوليو 2026؛ وفي جلسة جديدة أنتج النموذج الجديد استغلالاً عاملًا لـ ARM64 على جهاز Mac محلي خلال نحو ثلاث ساعات، وبحلول الساعة 06:00 من صباح اليوم التالي كان قد نُقل إلى إعداد x86-64 الذي يستخدمه Discourse.

صدر Claude Opus 5 أيضًا مزودًا بضمانات ضد كتابة كود استغلال لأهداف حقيقية. وتقول Hacktron إنها تحايلت عليها بتوجيه النموذج إلى نسخة Discourse Cloud الخاصة بها، عبر وسيط مضيف باسم rce.ee/ctf-forum حتى يبدو الهدف كتمرين Capture The Flag، وب تشغيله في حلقة هدف مستقلة. ويوضح الفريق صراحةً أن هذا لم يكن اختراقًا دون إشراف: «ظل التوجيه البشري الماهر مهمًا»، كما يكتب، بينما زاد حجم العمل الذي يمكن لفريق صغير أداؤه بشكل هائل. وفي حملة HEIF Heist الأوسع، تقول Hacktron إنها استخدمت GPT-5.6 Sol من OpenAI في الحالات التي لم تكن تعرف فيها شيئًا عن الهدف مسبقًا.

الجدوى الاقتصادية هي الحجة التي يريد Hacktron أن يستخلصها القارئ. وعلى مستوى الحملة الأوسع — التي تتبّعت الفئة نفسها من العيوب عبر Slack وMeta وGitHub Enterprise وRuby on Rails وأُطر Next.js وAstro وGatsby — تقول إن عملًا استمر شهرين قام به ثلاثة باحثين كلّف أقل من 3000 دولار من التوكنات، مع استغراق تكييف كل هدف جديد يومًا أو يومين. وتقول أيضًا إنها لا تعلم بأي شركة كشفت النشاط سوى Shopify، رغم إرسال آلاف الصور الاختبارية وتعطّل معالجات الصور مرارًا.

ماذا تغيّر بعد ذلك؟

تلقّى Discourse التقرير يوم السبت، وردّ يوم الأحد، وكان الإصلاح جاهزًا بحلول الاثنين، ونشر تنبيهه الأمني في 28 يوليو، مضيفًا العزل Sandboxing لمعالجة الصور كدفاع متعدد الطبقات. ويحذّر تنبيهه المستضيفين الذاتيين من أن تحديث واجهة الويب وحده قد لا يستبدل المكتبة الأساسية، وأن إعادة بناء كاملة من /var/discourse مطلوبة. نشرت Debian تحديثًا أمنيًا لـ libheif في Debian 13 في 8 أغسطس 2026، مسجّلًا باسم DSA-6417-1. وفي المشروع الأصلي، يشير Hacktron للقراء إلى libheif 1.23.4 بوصفه أحدث إصدار أمني اعتبارًا من 14 سبتمبر 2026، ويلاحظ أن حزم التوزيعات قد تحمل إصلاحات منقولة خلفيًا تحت رقم إصدار أقدم، لذا يجب التحقق من تنبيه الحزمة إلى جانب إصدار المشروع الأصلي.

بالنسبة إلى OpenAI، وصل الإصلاح خلال نحو 14 ساعة من التقرير في 25 يوليو، ودُفعت المكافأة في 1 سبتمبر. وأرفقت الشركة توضيحًا بشأن النطاق بالمبلغ المدفوع: كان اختبار community.openai.com المستضاف على Discourse مستبعدًا صراحةً من برنامج مكافآت الثغرات الخاص بها، والمكافأة تعترف بالنتيجة المتعلقة بجانب OpenAI لا بالإجراءات ضد Discourse. وهذا جدير بالقراءة بعناية. مبلغ 6,500 دولار هو دفعة مقابل ثغرة تسجيل الدخول، وليس مقابل سلسلة المنتدى، والعمل على المنتدى الذي جعل السلسلة ممكنة كان، بحسب OpenAI نفسها، خارج النطاق.

لماذا لا تتطابق CVE مع العنوان الرئيسي

تميل تغطية هذه الحالة إلى ضغط تقييمين مختلفين للخطورة في تقييم واحد. يصف إشعار libheif وCVE قراءة خارج الحدود بتأثير على السرية مصنّف منخفضًا وتأثير على التوافر مصنّف مرتفعًا: انهيار، أو تسريب ذاكرة. ويصف إشعار Discourse ما حدث عندما اقترنت تلك القراءة بعمل استغلالي وثغرة ثانية، ويصنّفه 8.8 بتأثير كامل عبر الفئات الثلاث. لا أحد منهما خاطئ؛ فكلاهما يجيب عن سؤال مختلف. تجيب CVE عن سؤال "ما مدى سوء خطأ المكتبة؟" ويجيب إشعار المنتدى عن سؤال "ما مدى سوء مشكلة المنتدى؟"

النتيجة العملية هي أن القارئ الذي يتصفّح خلاصات CVE بحثًا عن ثغرة حرجة لتنفيذ تعليمات برمجية عن بُعد في libheif لن يجد واحدة هنا، وقد يستنتج على نحو معقول أنه غير متأثر. لكن إرشادات Hacktron نفسها تقول العكس: أي خدمة تقبل صور HEIC أو HEIF أو AVIF مقدَّمة من المستخدم وتفكّ ترميزها عبر libheif غير مُرقَّعة ينبغي اعتبارها مكشوفة، ورقم الإصدار وحده ليس فحصًا كافيًا لأن التحديثات الخلفية تُضمَّن تحت أرقام إصدارات قديمة. والتخفيفات الثلاثة التي توصي بها هي: تحديث libheif وlibde265 عبر قناة الأمان في التوزيعة أو عبر إصدار upstream حالي، وتعطيل فكّ ترميز HEIF وAVIF غير الموثوقين حيث لا تكون هناك حاجة إليهما أو عزل معالجة الصور في بيئة اختبار معزولة (sandbox) مؤقتة، و— وهو ما يتجاوز مكتبات الصور—تقييد الخدمات التي يأتمنها الدخول الموحّد ويتطلب تحققًا جديدًا من الهوية قبل الإجراءات الحساسة بدلًا من الثقة بجلسة قائمة.

تلك النقطة الأخيرة هي النتيجة القابلة للتطبيق. لم يكن المنتدى هو الثغرة؛ بل كان المدخل. فكون خدمة عامة أقل ثقة تشترك في مزوّد هوية مع الأدوات الداخلية يعني أن اختراق أضعف عنصر في البيئة يمنح الوصول إلى أقواها. ولا شيء في رواية Hacktron يشير إلى أن OpenAI كانت متهاونة بشأن المنتدى نفسه — فـ Discourse، بحسب تقييم الفريق ذاته، «ليس في الواقع هدفًا سهلًا» — وهذا تحديدًا هو سبب الاستشهاد بالحالة: حدود الثقة، وليس الخلل البرمجي، هي ما فشل.