חוקרים השתמשו ב-Claude כדי לפרוץ למערכות הפנימיות של OpenAI בשרשרת באג-באונטי.

ב-25 ביולי 2026, צוות בן שלושה אנשים בחברת האבטחה Hacktron AI השתמש ב-Claude Opus 5 של Anthropic כדי לשרשר שני פגמים ולהשתלט על חשבונות ChatGPT ו-Codex השייכים לעובדי OpenAI, ולאחר מכן השתמש באחד מאותם חשבונות כדי לפתוח בקשת משיכה (pull request) בתוך מאגר קוד המקור הפנימי של OpenAI. נקודת הכניסה לא הייתה עמוד התחברות או מפתח API: היא הייתה העלאת תמונה בפורום העזרה הציבורי של OpenAI, community.openai.com, אשר פועל על תוכנת הפורום בקוד פתוח Discourse. הפגם השני היה במערכת ההתחברות המשותפת של OpenAI עצמה, ולא בפורום. לא נקרא קוד מקור, דבר לא מוזג, לא נגעו בנתוני לקוחות, והארכיון אינו מתעד נזק בעולם האמיתי — זה היה מחקר אבטחה שדווח לספק, ולא התקפה עליו. הרשומה מתוארכת ל-18 בספטמבר 2026, היום שבו TechCrunch דיווח על הממצא. התקרית הזו מופיעה לצד הרשומות המתועדות האחרות בתוך the Orca AI Incident Archive, שבו כל רשומה כוללת את המקורות, חומרת האירוע, דירוג המהימנות וסימון המחלוקת שלה.

שני דברים הופכים את המקרה ליותר מסיפור צבעוני של באג-באונטי. הראשון הוא המהירות: Hacktron אומרת שהדרך כולה מהמבט הראשון בפורום ועד להחזקת גישה למאגר פנימי ארכה פחות מ-72 שעות, ושהמודל שאיתו היא החלה לא היה מסוגל לעשות את העבודה. השני הוא אי-התאמה שהמספרים הכותרתיים מסתירים — ה-CVE שהסיקור מציין, CVE-2026-32882, רשום כמחוץ-לגבולות קריאה שגורמת לקריסת תוכנה או לדליפת זיכרון, ולא כבאג של הרצת קוד. הייעוץ של Discourse עצמו מדרג את התוצאה כהרצת קוד מרחוק. שניהם נכונים, והפער ביניהם הוא המקום שבו תרומת ה-AI באמת נמצאת.

מה Hacktron אומרת שמצאה, ומתי

Hacktron פרסמה את כתבתה, "Hacking OpenAI", באתר שלה ב-13 בספטמבר 2026. The Wall Street Journal דיווח על כך בערב יום חמישי, 17 בספטמבר, לפי TechCrunch, שדיווח לאחר מכן ביום שישי, 18 בספטמבר. האירועים המתוארים התרחשו כשמונה שבועות קודם לכן, ולוח הזמנים של Hacktron עצמה מדויק לגביהם:

• 23 ביולי 2026 — הצוות עוקב אחר נתיב ההעלאה של HEIF ב-Discourse דרך ImageMagick אל libheif ומגלה את הצפת ה-heap.

• 24 ביולי 2026 — Claude Opus 4.8 מפיק אקספלויט עובד להרצת קוד כאשר ASLR, הגנת אקראיות הכתובות הסטנדרטית, מושבת.

• 25 ביולי 2026, 06:00 UTC — באמצעות מודל חדש יותר, הצוות מאשר הרצת קוד מקומית אמינה באמצעות העלאת תמונה כאשר ASLR פעיל.

• 25 ביולי 2026, 08:00–10:00 UTC — הצוות מגיש דוח דרך תוכנית הבאונטי לבאגים של OpenAI ב-Bugcrowd.

• 25 ביולי 2026, 10:00 UTC — האקספלויט פועל נגד מופע Discourse Cloud של הצוות עצמו ולאחר מכן נגד הפורום של OpenAI.

• 25 ביולי 2026, 13:30–15:30 UTC — הצוות משתמש בחשבון Codex של עובד OpenAI כדי לפתוח בקשת משיכה לא מזיקה במונורפו הפנימי של OpenAI, ואז מפסיק את הבדיקות.

• 25 ביולי 2026, 22:49:45 UTC — OpenAI משיבה ומאשרת שהבעיה תוקנה, כ-14 שעות לאחר ההגשה הראשונית.

• 28 ביולי 2026 — Discourse מפרסמת ייעוץ GHSA-vhm9-85gw-x335 עם הנחיות לתיקון ולבנייה מחדש.

• 1 בספטמבר 2026 — OpenAI משלמת פרס של 6,500 דולר ומסמנת את הדוח כנפתר.

התאריכים שלמעלה הם של Hacktron, לא שחזור. תאריך הפרסום, 13 בספטמבר, בפוסט של Hacktron עצמה, הדיווח של Wall Street Journal מ-17 בספטמבר והכתבה של TechCrunch מ-18 בספטמבר הם רצף נפרד ומאוחר יותר: העבודה נעשתה ביולי, והטקסט פורסם באמצע ספטמבר.

איך העלאת תמונה הפכה לפריצה לשרת

השרשרת מתחילה בתכונה שגרתית. Discourse בודקת בדרך כלל תמונות שהועלו באמצעות ספרייה בשם FastImage, אך FastImage אינה תומכת ב-HEIF, פורמט המכל שבו מכשירי אפל משתמשים לתמונות. לכן הקבצים הללו הועברו לכלי שורת הפקודה של ImageMagick לצורך המרה, שהעביר אותם ל-libheif לפענוח. זה העמיד מפענח ישירות מול קבצים שנשלטים בידי תוקף — בדיוק הדפוס שאותו הקומיקס של xkcd על תלויות מתאר, אשר Hacktron מצטט בהפניות שלו.

Hacktron מצאה שבחבילת libheif המותקנת בתמונת ה-Docker של Discourse חסרו תיקוני אבטחה. התמונה של Discourse נבנתה על Debian 12, שבה הותקן libheif 1.19.7; Debian 13 עדיין סיפקה 1.19.8 באותה עת. הבאג עצמו נמצא ב-HeifPixelImage::overlay(), אשר מרכיב תמונת שכבת-על על תמונת בסיס. לפי הייעוץ של libheif עצמה, כאשר לצאצא שכבת-על יש עומק סיביות שונה עבור ערוץ האלפא שלו מאשר עבור ערוצי הצבע שלו, הפונקציה מאנדקסת את מישור האלפא באמצעות ה-stride של ערוץ הצבע במקום זה של מישור האלפא. עם תמונה בגודל 100 על 50 בצבע של 10 סיביות ואלפא של 8 סיביות, הייעוץ מחשב שהקוד קורא 3,123 בתים מעבר לסוף חוצץ של 7,168 בתים.

זה מעניק לתוקף זיכרון heap שדלף, שמועיל כדי להביס את אקראיות הכתובות — אך לא, כשלעצמו, מעטפת פקודה. המעבר מהדליפה לביצוע הוא החלק שנדרש לו מודל, והוא החלק שה-CVE אינו מתאר. השרשרת חצתה אז גבול אמון שלפי Hacktron הוא הסיפור האמיתי: הפורום של OpenAI מציע "התחברות עם OpenAI" דרך auth.openai.com, אותו מנגנון SSO שאנשי הצוות משתמשים בו במקומות אחרים. שליטה בשרת הפורום אפשרה לחוקרים להשתלט על חשבונות ChatGPT ו-Codex של חברי פורום שעבדו ב-OpenAI, ללא כל אינטראקציה מצד הקורבנות. כפי ש-Hacktron מנסחת זאת, "הפגיעות שמאפשרת הסלמה אינה ייחודית ל-Discourse", וכל שירות של OpenAI, בין אם צד ראשון או צד שלישי, שהשתמש באותו מנגנון התחברות היה מעניק את אותה גישה.

מבוסס, ומוסק

הארכיון מדרג רשומה זו ברמת ודאות A, ללא מחלוקת, בחומרה גבוהה, כאשר לא תועד נזק ממשי. השדות הללו מחזיקים מעמד. אך הדיווח הוא תיאור של צוות מחקר יחיד, הנתמך במקורות נוספים ולא משוחזר באופן עצמאי, וראוי להפריד בין מה שמתועד לבין מה שנטען.

נקבע על פי רשומות ראשוניות. CVE-2026-32882 קיים, פורסם ב-19 במאי 2026, משפיע על libheif 1.21.2 וגרסאות קודמות, ותוקן ב-libheif 1.22.0. רשומת MITRE מעניקה לו ציון 7.1, עם וקטור תקיפה של רשת, מורכבות נמוכה, הרשאות נדרשות ללא, נדרשת אינטראקציית משתמש, והשפעות של סודיות נמוכה וזמינות גבוהה — קריסה או דליפת זיכרון. ייעוץ של Discourse GHSA-vhm9-85gw-x335, שפורסם ב-28 ביולי 2026 ומיוחס ל-hacktronai-research, עוקב אחר אותו CVE ומדרג את התוצאה כ-High בציון 8.8, עם הרשאות נמוכות נדרשות, ללא אינטראקציית משתמש, והשפעה גבוהה על כל שלושת ההיבטים — סודיות, שלמות וזמינות. הוא מפרט גרסאות מתוקנות 2026.7.0, 2026.6.1, 2026.5.2 ו-2026.1.6, ומציין שתמונת Docker העדכנית ביותר כוללת את libheif המתוקן.

אושר על ידי שני כלי תקשורת עצמאיים. שהחוקרים השתמשו ב-Claude כדי למצוא את השרשרת ולהפוך אותה לנשק, שפריצה לפורום הובילה לגישה לחשבונות צוות, ש-OpenAI תיקנה אותה בתוך כ-14 שעות ושילמה 6,500 דולר, שההוכחה לגישה הייתה בקשת משיכה בודדת, וש� OpenAI אומרת שבדיקת הפורום עצמו נפלה מחוץ לתחום תוכנית הפרסים שלה — כל זה מופיע ב-The Hacker News וב-TechCrunch, ששתיהן מצטטות ישירות את הדוח של Hacktron.

נטען על ידי Hacktron, ולא אומת באופן עצמאי. העובדה שהרצת קוד בפורום הושגה בכלל באופן המתואר — באמצעות לולאת סוכן אוטונומית ומופע בדיקה מאחורי פרוקסי — נשענת על הדיווח של Hacktron ולא שוחזרה על ידי צד שלישי; The Hacker News מוסרת שיצרה קשר עם Hacktron עם שאלות בדבר האופן שבו הושגה הרצת הקוד בפורום ובדבר היקף הגישה לחשבון, ואינה מדווחת שקיבלה תשובות. הטענה שאותה מחלקת פגיעות הגיעה ל-Slack, ל-Meta, ל-GitHub Enterprise ולמסגרות אינטרנט היא, לפי הערכת The Hacker News עצמה, "נתמכת באופן לא אחיד": פגיעות ב-Next.js מאושרת בייעוץ האבטחה של Vercel, ומתחזקי libheif אישרו קוד ניצול עובד לבאג הקשור ל-Meta, אך הטענה הרחבה יותר בדבר הרצת קוד ביישומים רבים לא אומתה באופן עצמאי. OpenAI לא פרסמה כלל תיאור טכני של פגיעת ההתחברות; היא אישרה את הממצא באמצעות התיקון והתשלום, ולא באמצעות תיעוד השתלטויות החשבון.

לא הוכח כלל. כמה חשבונות עובדים היו נגישים — The Hacker News אומר "כמה", TechCrunch אומר "מספר", ו-Hacktron לא נותן מספר. האם הפרצה אי פעם נוצלה על ידי מישהו אחר: The Hacker News מדווח כי אין סימן לשימוש בעולם האמיתי ומציין שה-CVE לא היה ברשימת ממשלת ארה״ב של פגיעויות הידועות כנוצלות נכון לאמצע ספטמבר 2026, תוך שהוא מזהיר שהרשימה אינה מהווה הוכחה לכאן או לכאן. והאם ארגונים שכבר התקינו תיקון צריכים עדיין לחפש גישה מוקדמת יותר — The Hacker News אומר שהמקורות שותקים בנקודה זו.

מה עשו המודלים, ומה עשו בני האדם

זינוק היכולות הוא החלק ש-Hacktron עצמה מדגישה, והוא מתועד במילותיה שלה ולא מוסק. הצוות השתמש לראשונה ב-Claude Opus 4.8, בגרסה שהועמדה לרשות חוקרי סייבר, כדי לבדוק את חבילת libheif המותקנת ולבנות אקספלייט כאשר ASLR מושבת. כאשר ASLR פעיל, המודל נתקע לאורך כמה סשנים. Anthropic שחררה את Claude Opus 5 בערב 24 ביולי 2026; בסשן חדש המודל החדש הפיק אקספלייט ARM64 עובד עבור Mac מקומי בתוך כשלוש שעות, ועד השעה 06:00 למחרת בבוקר הוא הוסב לתצורת x86-64 שבה משתמש Discourse.

Claude Opus 5 הגיע גם עם אמצעי הגנה מפני כתיבת קוד ניצול עבור מטרות אמיתיות. Hacktron אומרת שהיא עקפה אותם על ידי הפניית המודל למופע Discourse Cloud משלה, דרך פרוקסי במארח בשם rce.ee/ctf-forum כך שהמטרה נראתה כמו תרגיל capture-the-flag, ועל ידי הרצתו בלולאת מטרה אוטונומית. הצוות מפורש בכך שזה לא היה האקינג ללא השגחה: "הכוונה אנושית מיומנת נותרה חשובה", נכתב, בעוד שכמות העבודה שצוות קטן יכול היה לבצע גדלה באופן דרמטי. בקמפיין HEIF Heist הרחב יותר, Hacktron אומרת שהיא השתמשה ב-OpenAI GPT-5.6 Sol במקרים שבהם לא ידעה דבר על המטרה מראש.

הכלכלה היא הטיעון ש-Hacktron רוצה שהקורא ייקח ממנה. לאורך הקמפיין הרחב יותר — שבו עוקבים אחר אותה סוג של פגם דרך Slack, Meta, GitHub Enterprise, Ruby on Rails והמסגרות Next.js, Astro ו-Gatsby — נאמר כי חודשיים של עבודה על ידי שלושה חוקרים עלו פחות מ-3,000 דולר בטוקנים, כאשר כל יעד חדש דורש יום או יומיים להתאמה. עוד נאמר כי אינו יודע על חברה כלשהי שזיהתה את הפעילות מלבד Shopify, למרות שנשלחו אלפי תמונות בדיקה ומעבדי תמונות קרסו שוב ושוב.

מה השתנה לאחר מכן

Discourse קיבלה את הדיווח ביום שבת, השיבה ביום ראשון, היה לה תיקון עד יום שני, ופרסמה את הודעת האבטחה שלה ב-28 ביולי, תוך הוספת הרצה בארגז חול לעיבוד תמונות כהגנה לעומק. הודעת האבטחה שלה מזהירה את מי שמארחים את המערכת בעצמם שעדכון של ממשק האינטרנט בלבד עשוי שלא להחליף את הספרייה הבסיסית, ונדרשת בנייה מחדש מלאה מתוך /var/discourse. Debian פרסמה עדכון אבטחה עבור libheif של Debian 13 ב-8 באוגוסט 2026, המסומן כ-DSA-6417-1. במעלה הזרם, Hacktron מפנה את הקוראים אל libheif 1.23.4 כמהדורת האבטחה העדכנית ביותר נכון ל-14 בספטמבר 2026, ומציין שחבילות ההפצה עשויות לכלול תיקונים שהוחזרו לגרסאות קודמות תחת מספר גרסה ישן יותר, ולכן יש לבדוק גם את ייעוץ האבטחה של החבילה וגם את גרסת מעלה הזרם.

עבור OpenAI, התיקון נכנס לפעולה בתוך כ-14 שעות מהדיווח ב-25 ביולי, והפרס שולם ב-1 בספטמבר. החברה צירפה הבהרת היקף לתשלום: בדיקה מול community.openai.com המתארח ב-Discourse הוצאה במפורש מתוכנית ציד הבאגים שלה, והפרס מכיר בממצא בצד של OpenAI ולא בפעולות נגד Discourse. כדאי לקרוא את זה בקפידה. 6,500 הדולרים הם תשלום עבור ממצא ההתחברות, לא עבור שרשרת הפורום, ועבודת הפורום שאיפשרה את השרשרת הייתה, לפי הודאת OpenAI עצמה, מחוץ להיקף.

מדוע ה-CVE אינו תואם את הכותרת

הסיקור של מקרה זה נוטה לדחוס שני דירוגי חומרה שונים לאחד. הייעוץ של libheif וה-CVE מתארים קריאה מחוץ לגבולות הזיכרון עם השפעה על סודיות בדירוג נמוך והשפעה על זמינות בדירוג גבוה: קריסה או דליפת זיכרון. הייעוץ של Discourse מתאר מה קרה כאשר הקריאה הזו שולבה עם עבודת ניצול ועם פגם נוסף, ומדרג אותה 8.8 עם השפעה מלאה בכל שלוש הקטגוריות. אף אחד מהם אינו שגוי; הם עונים על שאלות שונות. ה-CVE עונה על "עד כמה חמור הבאג בספרייה?" והייעוץ בפורום עונה על "עד כמה חמורה הבעיה בפורום?"

ההשלכה המעשית היא שקורא שסורק עדכוני CVE בחיפוש אחר פגיעות קריטית של הרצת קוד מרחוק ב-libheif לא ימצא כאן כזו, ועלול להסיק באופן סביר שאינו מושפע. ההנחיה של Hacktron עצמה היא ההפוכה: יש להתייחס לכל שירות שמקבל תמונות HEIC, HEIF או AVIF שמסופקות על ידי משתמש ומפענח אותן דרך libheif שאינה מתוקנת כאל חשוף, ומספר הגרסה לבדו אינו בדיקה מספקת משום שתיקוני backport מוזרקים תחת מחרוזות גרסה מיושנות. שלושת אמצעי ההקלה שהיא ממליצה עליהם הם לעדכן את libheif ואת libde265 דרך ערוץ האבטחה של ההפצה או דרך מהדורה עדכנית במעלה הזרם, להשבית פענוח של HEIF ו-AVIF שאינם מהימנים במקומות שבהם אין צורך בכך או לבודד עיבוד תמונות בארגז חול זמני, וכן — זה שהכללתו חורגת מספריות תמונות — להגביל אילו שירותים כניסה יחידה (SSO) נותנת בהם אמון ולדרוש בדיקת זהות חדשה לפני פעולות רגישות במקום לסמוך על הפעלה קיימת.

הנקודה האחרונה היא הממצא שניתן להעביר הלאה. הפורום לא היה חולשת האבטחה; הוא היה דלת הכניסה. שירות ציבורי בעל רמת אמון נמוכה יותר שחלק ספק זהות עם כלי עבודה פנימיים משמעו שפריצה לנכס החלש ביותר בסביבה העניקה גישה לנכס החזק ביותר. דבר בחשבונו של Hacktron אינו מרמז ש-OpenAI התרשלה בנוגע לפורום עצמו — Discourse, לפי הערכת הצוות עצמו, "הוא למעשה לא מטרה קלה" — וזו בדיוק הסיבה שהמקרה מצוטט: גבול האמון, ולא הבאג, הוא מה שנכשל.