Forschende nutzten Claude, um in einer Bug-Bounty-Kette in die internen Systeme von OpenAI einzudringen

Am 25. Juli 2026 nutzte ein dreiköpfiges Team beim Sicherheitsunternehmen Hacktron AI Anthropics Claude Opus 5, um zwei Schwachstellen zu verketten und die Kontrolle über ChatGPT- und Codex-Konten von OpenAI-Mitarbeitern zu übernehmen; anschließend nutzte es eines dieser Konten, um im internen Quellcode-Repository von OpenAI einen Pull Request zu öffnen. Der Einstiegspunkt war weder eine Anmeldeseite noch ein API-Schlüssel, sondern ein Bildupload im öffentlichen Hilfe-Forum von OpenAI, community.openai.com, das auf der Open-Source-Forumsoftware Discourse läuft. Die zweite Schwachstelle lag in der eigenen gemeinsamen Single-Sign-on-Lösung von OpenAI, nicht im Forum. Es wurde kein Quellcode gelesen, nichts wurde zusammengeführt, keine Kundendaten wurden berührt, und im Archiv ist kein realer Schaden verzeichnet – dies war Sicherheitsforschung, die dem Anbieter gemeldet wurde, kein Angriff auf ihn. Der Eintrag ist auf den 18. September 2026 datiert, den Tag, an dem TechCrunch über den Fund berichtete. Dieser Vorfall steht neben den anderen dokumentierten Einträgen in dem Orca AI Incident Archive, wobei jeder Eintrag seine eigenen Quellen, seinen Schweregrad, seine Vertrauensstufe und seine Kennzeichnung als umstritten enthält.

Zwei Dinge machen den Fall mehr als eine bunte Bug-Bounty-Geschichte. Das erste ist die Geschwindigkeit: Hacktron sagt, der gesamte Weg vom ersten Blick ins Forum bis zum Zugriff auf das interne Repository habe unter 72 Stunden gedauert, und das Modell, mit dem es begonnen habe, sei nicht in der Lage gewesen, die Aufgabe zu erledigen. Das zweite ist eine Diskrepanz, die die Schlagzeilen-Zahlen verbergen — die CVE, die in der Berichterstattung genannt wird, CVE-2026-32882, ist als ein Out-of-Bounds-Lesevorgang verzeichnet, der Software zum Absturz bringt oder Speicher preisgibt, nicht als ein Codeausführungsfehler. Discourses eigene Sicherheitsmitteilung stuft das Ergebnis als Remote-Code-Execution ein. Beides ist wahr, und die Kluft dazwischen ist genau der Punkt, an dem der Beitrag der KI tatsächlich liegt.

Was Hacktron eigenen Angaben zufolge gefunden hat – und wann

Hacktron veröffentlichte seinen Bericht „Hacking OpenAI“ am 13. September 2026 auf seiner eigenen Website. Laut TechCrunch, der am Freitag, 18. September, folgte, berichtete das Wall Street Journal am Abend des Donnerstags, 17. September, darüber. Die beschriebenen Ereignisse fanden rund acht Wochen zuvor statt, und Hacktrons eigener Zeitplan ist diesbezüglich präzise:

• 23. Juli 2026 — das Team verfolgt den HEIF-Uploadpfad von Discourse über ImageMagick bis libheif und findet den Heap-Overflow.

• 24. Juli 2026 — Claude Opus 4.8 erzeugt einen funktionsfähigen Code-Execution-Exploit, wobei ASLR, die standardmäßige Verteidigung gegen Adressrandomisierung, deaktiviert ist.

• 25. Juli 2026, 06:00 UTC — Mit einem neueren Modell bestätigt das Team zuverlässige lokale Codeausführung über einen Bild-Upload bei aktiviertem ASLR.

• 25. Juli 2026, 08:00–10:00 UTC — Das Team reicht über das Bug-Bounty-Programm von OpenAI auf Bugcrowd einen Bericht ein.

25. Juli 2026, 10:00 UTC — der Exploit funktioniert gegen die eigene Discourse-Cloud-Instanz des Teams und anschließend gegen OpenAIs Forum.

• 25. Juli 2026, 13:30–15:30 UTC — Das Team verwendet das Codex-Konto eines OpenAI-Mitarbeiters, um einen harmlosen Pull Request im internen Monorepo von OpenAI zu öffnen, und stellt dann die Tests ein.

• 25. Juli 2026, 22:49:45 UTC — OpenAI antwortet und bestätigt, dass das Problem behoben ist, etwa 14 Stunden nach der ursprünglichen Einreichung.

• 28. Juli 2026 — Discourse veröffentlicht den Sicherheitshinweis GHSA-vhm9-85gw-x335 mit Anleitung zum Patchen und Neuaufbau.

• 1. September 2026 — OpenAI zahlt ein Kopfgeld von 6.500 US-Dollar und markiert den Bericht als erledigt.

Die oben genannten Daten stammen von Hacktron und sind keine Rekonstruktion. Das Veröffentlichungsdatum des 13. September auf dem eigenen Beitrag, der Bericht des Wall Street Journal vom 17. September und die TechCrunch-Story vom 18. September bilden eine separate, spätere Abfolge: Die Arbeit fand im Juli statt, der Artikel erschien Mitte September.

Wie aus einem Bild-Upload eine Serverkompromittierung wurde

Die Kette beginnt mit einer alltäglichen Funktion. Discourse prüft hochgeladene Bilder normalerweise mit einer Bibliothek namens FastImage, aber FastImage unterstützt HEIF nicht, das Containerformat, das Apples Geräte für Fotos verwenden. Diese Dateien wurden daher an das Kommandozeilenwerkzeug von ImageMagick zur Konvertierung weitergegeben, das sie an libheif zum Dekodieren übergab. Dadurch stand ein Parser direkt vor von Angreifern kontrollierten Dateien – genau das Muster, das der xkcd-Dependency-Comic im Sinn hat und das Hacktron in seinen Referenzen zitiert.

Hacktron stellte fest, dass dem im Docker-Image von Discourse installierten Paket libheif Sicherheitsfixes fehlten. Das Image von Discourse basierte auf Debian 12, wodurch libheif 1.19.7 installiert wurde; Debian 13 lieferte damals noch 1.19.8 aus. Der Fehler selbst steckt in HeifPixelImage::overlay(), das ein Overlay-Bild auf ein Basisbild zusammensetzt. Laut dem eigenen Advisory von libheif indexiert die Funktion, wenn ein Overlay-Kind für seinen Alphakanal eine andere Bittiefe als für seine Farbkanäle hat, die Alpha-Ebene mit dem Stride des Farbkanals statt mit dem der Alpha-Ebene. Bei einem Bild mit 100 × 50 Pixeln, 10-Bit-Farbe und 8-Bit-Alpha berechnet das Advisory, dass der Code 3.123 Bytes über das Ende eines 7.168-Byte-Puffers hinaus liest.

Das verschafft einem Angreifer geleakten Heap-Speicher, was nützlich ist, um Adressrandomisierung zu umgehen – für sich genommen aber noch keine Shell. Der Weg vom Leak zur Ausführung ist der Teil, für den ein Modell nötig war, und der Teil, den die CVE nicht beschreibt. Die Kette überschritt dann eine Vertrauensgrenze, die laut Hacktron die eigentliche Geschichte ist: OpenAIs Forum bietet „Sign in with OpenAI“ über auth.openai.com an, dasselbe Single Sign-on, das Mitarbeitende auch anderswo verwenden. Die Kontrolle über den Forumsserver bedeutete, dass die Forschenden die ChatGPT- und Codex-Konten von Forenmitgliedern übernehmen konnten, die bei OpenAI arbeiteten, ohne dass die Betroffenen interagieren mussten. Wie Hacktron es formuliert: „Die Schwachstelle zur Eskalation ist nicht Discourse-spezifisch“, und jeder Erst- oder Drittanbieter-Dienst von OpenAI, der dieses Sign-on nutzte, hätte denselben Zugriff gewährt.

Festgestellt und abgeleitet

Das Archiv stuft diesen Eintrag mit Vertrauensgrad A ein, nicht umstritten, Schweregrad hoch, wobei kein tatsächlicher Schaden verzeichnet ist. Diese Felder sind belastbar. Doch die Berichterstattung ist der Bericht eines einzelnen Forschungsteams, bestätigt statt unabhängig rekonstruiert, und es lohnt sich, zu trennen, was dokumentiert ist, von dem, was behauptet wird.

Durch Primärquellen belegt. CVE-2026-32882 existiert, wurde am 19. Mai 2026 veröffentlicht, betrifft libheif 1.21.2 und früher und wurde in libheif 1.22.0 behoben. Der MITRE-Datensatz bewertet sie mit 7,1, mit Angriffsvektor Netzwerk, geringer Komplexität, erforderlichen Privilegien: keine, erforderlicher Benutzerinteraktion und Auswirkungen von geringer Vertraulichkeit und hoher Verfügbarkeit – ein Absturz oder ein Speicherleck. Discourses Advisory GHSA-vhm9-85gw-x335, veröffentlicht am 28. Juli 2026 und hacktronai-research zugeschrieben, behandelt dieselbe CVE und stuft das Ergebnis mit Hoch (8,8) ein, mit erforderlichen geringen Privilegien, keiner Benutzerinteraktion und hoher Auswirkung auf alle drei Aspekte Vertraulichkeit, Integrität und Verfügbarkeit. Es listet die gepatchten Versionen 2026.7.0, 2026.6.1, 2026.5.2 und 2026.1.6 auf und gibt an, dass das neueste Docker-Image das gepatchte libheif enthält.

Von zwei unabhängigen Medien bestätigt. Dass die Forscher Claude nutzten, um die Angriffskette zu finden und zu weaponisieren, dass eine Kompromittierung des Forums zum Zugriff auf Mitarbeiterkonten führte, dass OpenAI dies innerhalb von etwa 14 Stunden behob und 6.500 US-Dollar zahlte, dass der Zugriffsnachweis ein einzelner Pull Request war und dass OpenAI angibt, das Testen des Forums selbst habe außerhalb des Umfangs seines Bug-Bounty-Programms gelegen – all dies findet sich in The Hacker News und TechCrunch, die beide Hacktrons Bericht direkt zitieren.

Von Hacktron behauptet, nicht unabhängig verifiziert. Dass Codeausführung im Forum überhaupt auf die beschriebene Weise erreicht wurde – durch eine autonome Agentenschleife und eine über einen Proxy laufende Testinstanz –, stützt sich auf Hacktrons Darstellung und wurde nicht von Dritten reproduziert; The Hacker News gibt an, Hacktron mit Fragen dazu kontaktiert zu haben, wie die Codeausführung im Forum erreicht wurde und wie weit der Kontozugriff reichte, und berichtet nicht, Antworten erhalten zu haben. Die Behauptung, dieselbe Fehlerklasse habe Slack, Meta, GitHub Enterprise und Web-Frameworks erreicht, ist nach Einschätzung von The Hacker News selbst „uneinheitlich belegt“: Eine Next.js-Schwachstelle ist in Vercels Advisory bestätigt, und die Maintainer von libheif bestätigten einen funktionierenden Exploit für den mit Meta verbundenen Fehler, doch die weitergehende Behauptung von Codeausführung über viele Anwendungen hinweg wurde nicht unabhängig bestätigt. OpenAI hat überhaupt keine technische Beschreibung der Sign-on-Schwachstelle veröffentlicht; es bestätigte den Befund durch die Behebung und die Zahlung statt durch die Dokumentation der Kontenübernahmen.

Überhaupt nicht geklärt. Wie viele Mitarbeiterkonten erreichbar waren — The Hacker News sagt „einige“, TechCrunch sagt „mehrere“, und Hacktron nennt keine Zahl. Ob die Schwachstelle jemals von jemand anderem genutzt wurde: The Hacker News berichtet von keinen Hinweisen auf eine Nutzung in der realen Welt und merkt an, dass die CVE bis Mitte September 2026 nicht auf der Liste der US-Regierung mit Schwachstellen stand, von denen bekannt ist, dass sie ausgenutzt werden, während sie einschränkend hinzufügt, dass die Liste in beide Richtungen kein Beweis ist. Und ob Organisationen, die bereits gepatcht hatten, noch nach früherem Zugriff suchen sollten — The Hacker News sagt, die Quellen schweigen zu diesem Punkt.

Was die Modelle taten und was die Menschen taten

Der Fähigkeitssprung ist der Teil, den Hacktron selbst betont, und er ist in eigenen Worten dokumentiert, nicht nur abgeleitet. Das Team nutzte zunächst Claude Opus 4.8 in einem Build, das Cybersecurity-Forschern zur Verfügung gestellt wurde, um das installierte libheif-Paket zu inspizieren und einen Exploit mit deaktiviertem ASLR zu erstellen. Mit aktiviertem ASLR kam es über mehrere Sitzungen hinweg nicht voran. Anthropic veröffentlichte Claude Opus 5 am Abend des 24. Juli 2026; in einer neuen Sitzung erstellte das neue Modell innerhalb von etwa drei Stunden einen funktionierenden ARM64-Exploit für einen lokalen Mac, und bis 06:00 Uhr am nächsten Morgen war er auf die x86-64-Konfiguration portiert, die Discourse verwendet.

Claude Opus 5 wurde außerdem mit Schutzmechanismen gegen das Schreiben von Exploit-Code für echte Ziele ausgeliefert. Hacktron sagt, es habe sie umgangen, indem es das Modell auf seine eigene Discourse-Cloud-Instanz richtete, die über einen Host namens rce.ee/ctf-forum geleitet wurde, sodass das Ziel wie eine Capture-the-Flag-Übung aussah, und indem es das Modell in einem autonomen Zielloop laufen ließ. Das Team stellt ausdrücklich klar, dass dies kein unbeaufsichtigtes Hacking war: „Fachkundige menschliche Anleitung blieb wichtig“, schreibt es, während die Arbeitsmenge, die ein kleines Team bewältigen konnte, dramatisch zunahm. In der breiter angelegten HEIF-Heist-Kampagne sagt Hacktron, es habe OpenAIs GPT-5.6 Sol für Fälle eingesetzt, in denen es im Voraus nichts über das Ziel wusste.

Die Wirtschaftlichkeit ist das Argument, das Hacktron beim Leser hinterlassen will. In der breiteren Kampagne – bei der dieselbe Art von Schwachstelle durch Slack, Meta, GitHub Enterprise, Ruby on Rails sowie die Frameworks Next.js, Astro und Gatsby verfolgt wurde – heißt es, zwei Monate Arbeit von drei Forschern hätten weniger als 3.000 Dollar an Tokens gekostet, wobei die Anpassung an jedes neue Ziel ein bis zwei Tage gedauert habe. Außerdem heißt es, es sei kein Unternehmen bekannt, das die Aktivität entdeckt habe, außer Shopify, obwohl Tausende Testbilder gesendet wurden und Bildprozessoren wiederholt abgestürzt seien.

Was hat sich danach geändert?

Discourse erhielt den Bericht an einem Samstag, antwortete am Sonntag, hatte bis Montag eine Korrektur und veröffentlichte am 28. Juli seine Sicherheitsmeldung, wobei Sandboxing für die Bildverarbeitung als zusätzliche Verteidigungsebene hinzugefügt wurde. Seine Sicherheitsmeldung warnt Selbsthoster davor, dass eine Aktualisierung der Weboberfläche allein die zugrunde liegende Bibliothek möglicherweise nicht ersetzt und dass ein vollständiger Neuaufbau aus /var/discourse erforderlich ist. Debian veröffentlichte am 8. August 2026 ein Sicherheitsupdate für libheif von Debian 13, geführt als DSA-6417-1. Auf Upstream-Seite verweist Hacktron die Leser auf libheif 1.23.4 als neueste Sicherheitsversion mit Stand 14. September 2026 und merkt an, dass Distributionspakete zurückportierte Korrekturen unter einer älteren Versionsnummer enthalten können, sodass sowohl die Paket-Sicherheitsmeldung als auch die Upstream-Version geprüft werden müssen.

Bei OpenAI erfolgte die Korrektur innerhalb von etwa 14 Stunden nach dem Bericht am 25. Juli, und die Prämie wurde am 1. September ausgezahlt. Das Unternehmen fügte der Zahlung eine Klarstellung zum Geltungsbereich bei: Tests gegen das von Discourse gehostete community.openai.com waren ausdrücklich aus seinem Bug-Bounty-Programm ausgeschlossen, und die Prämie würdigt den Befund auf OpenAI-Seite statt der Maßnahmen gegen Discourse. Das sollte man sorgfältig lesen. Die 6.500 US-Dollar sind eine Zahlung für den Sign-on-Befund, nicht für die Forum-Kette, und die Forum-Arbeit, die die Kette ermöglichte, lag nach OpenAIs eigener Darstellung außerhalb des Geltungsbereichs.

Warum die CVE nicht zur Überschrift passt

Die Berichterstattung über diesen Fall neigt dazu, zwei unterschiedliche Schweregradbewertungen zu einer zu verdichten. Die libheif-Abvisory und die CVE beschreiben einen Out-of-Bounds-Read mit geringer Auswirkung auf die Vertraulichkeit und hoher Auswirkung auf die Verfügbarkeit: Absturz oder Speicherleck. Die Discourse-Abvisory beschreibt, was geschah, als dieser Read mit Exploit-Arbeit und einem zweiten Fehler kombiniert wurde, und bewertet ihn mit 8,8 bei voller Auswirkung in allen drei Kategorien. Keine von beiden ist falsch; sie beantworten unterschiedliche Fragen. Die CVE beantwortet „wie schlimm ist der Fehler in der Bibliothek?“ und die Forum-Abvisory beantwortet „wie schlimm ist das Problem im Forum?“

Die praktische Konsequenz ist, dass ein Leser, der CVE-Feeds nach einer kritischen Schwachstelle für Remotecodeausführung in libheif durchsucht, hier keine finden wird und vernünftigerweise zu dem Schluss kommen könnte, nicht betroffen zu sein. Hacktrons eigene Empfehlung lautet das Gegenteil: Jeder Dienst, der von Nutzern bereitgestellte HEIC-, HEIF- oder AVIF-Bilder annimmt und sie über ein nicht gepatchtes libheif decodiert, sollte als exponiert gelten, und die Versionsnummer allein ist keine ausreichende Prüfung, da Backports unter veralteten Versionszeichenketten ausgeliefert werden. Die drei empfohlenen Gegenmaßnahmen sind: libheif und libde265 über den Sicherheitskanal der Distribution oder eine aktuelle Upstream-Version zu aktualisieren; das Decodieren nicht vertrauenswürdiger HEIF- und AVIF-Bilder zu deaktivieren, wo es nicht benötigt wird, oder die Bildverarbeitung in einer ephemeren Sandbox zu isolieren; und — die Maßnahme, die über Bildbibliotheken hinausgeht — zu begrenzen, welchen Diensten ein Single Sign-on vertraut, und vor sensiblen Aktionen eine frische Identitätsprüfung zu verlangen, statt einer bestehenden Sitzung zu vertrauen.

Der letzte Punkt ist die übertragbare Erkenntnis. Das Forum war nicht die Schwachstelle; es war der Einstieg. Ein öffentlicher Dienst mit geringerem Vertrauen, der sich einen Identity-Provider mit internen Tools teilte, bedeutete, dass das Brechen der schwächsten Eigenschaft in der Systemlandschaft Zugriff auf die stärkste gewährte. Nichts in Hacktrons Darstellung deutet darauf hin, dass OpenAI beim Forum selbst nachlässig gewesen sei – Discourse ist nach Einschätzung des Teams „tatsächlich kein leichtes Ziel“ –, und genau deshalb wird dieser Fall angeführt: Versagt hat die Vertrauensgrenze, nicht der Bug.