Peneliti Menggunakan Claude untuk Meretas Sistem Internal OpenAI dalam Rangkaian Bug Bounty

Pada 25 Juli 2026, tim tiga orang di firma keamanan Hacktron AI menggunakan Claude Opus 5 milik Anthropic untuk merangkai dua celah dan mengambil alih akun ChatGPT dan Codex milik karyawan OpenAI, lalu menggunakan salah satu akun tersebut untuk membuka pull request di repositori sumber internal OpenAI. Titik masuknya bukan halaman login atau kunci API: melainkan unggahan gambar di forum bantuan publik OpenAI, community.openai.com, yang berjalan di perangkat lunak forum sumber terbuka Discourse. Celah kedua ada pada sistem sign-on bersama milik OpenAI sendiri, bukan pada forum. Tidak ada kode sumber yang dibaca, tidak ada yang di-merge, tidak ada data pelanggan yang disentuh, dan arsip mencatat tidak ada kerugian di dunia nyata — ini adalah riset keamanan yang dilaporkan kepada vendor, bukan serangan terhadap vendor tersebut. Catatan tersebut bertanggal 18 September 2026, hari ketika TechCrunch melaporkan temuan itu. Insiden ini tercatat bersama entri terdokumentasi lainnya di Orca AI Incident Archive, di mana setiap catatan membawa sumbernya sendiri, tingkat keparahan, tingkat keyakinan, dan penanda status diperdebatkan.

Ada dua hal yang membuat kasus ini lebih dari sekadar kisah bug bounty yang berwarna-warni. Yang pertama adalah kecepatannya: Hacktron mengatakan seluruh proses dari pertama kali melihat forum hingga memegang akses repositori internal memakan waktu kurang dari 72 jam, dan model yang mereka gunakan saat memulai tidak mampu melakukan pekerjaan itu. Yang kedua adalah ketidaksesuaian yang tersembunyi di balik angka-angka utama — CVE yang disebut dalam liputan, CVE-2026-32882, tercatat sebagai read out-of-bounds yang membuat perangkat lunak crash atau membocorkan memori, bukan sebagai bug eksekusi kode. Advisory milik Discourse sendiri menilai hasilnya sebagai eksekusi kode jarak jauh. Keduanya benar, dan celah di antara keduanya adalah tempat kontribusi AI sebenarnya berada.

Apa yang menurut Hacktron telah ditemukan, dan kapan

Hacktron menerbitkan tulisannya, "Hacking OpenAI", di situsnya sendiri pada 13 September 2026. The Wall Street Journal melaporkannya pada Kamis malam, 17 September, menurut TechCrunch, yang menyusul pada Jumat, 18 September. Peristiwa yang dijelaskan terjadi sekitar delapan minggu sebelumnya, dan linimasa Hacktron sendiri akurat tentangnya:

• 23 Juli 2026 — tim menelusuri jalur unggahan HEIF Discourse melalui ImageMagick hingga libheif dan menemukan heap overflow.

• 24 Juli 2026 — Claude Opus 4.8 menghasilkan eksploit eksekusi kode yang berfungsi dengan ASLR, pertahanan pengacakan alamat standar, dinonaktifkan.

• 25 Juli 2026, 06.00 UTC — dengan menggunakan model yang lebih baru, tim mengonfirmasi eksekusi kode lokal yang andal melalui unggahan gambar dengan ASLR aktif.

• 25 Juli 2026, 08.00–10.00 UTC — tim mengirimkan laporan melalui program bug bounty OpenAI di Bugcrowd.

• 25 Juli 2026, 10:00 UTC — eksploit tersebut berhasil terhadap instans Discourse Cloud milik tim sendiri dan kemudian terhadap forum OpenAI.

• 25 Juli 2026, 13.30–15.30 UTC — tim menggunakan akun Codex milik seorang karyawan OpenAI untuk membuka pull request yang tidak berbahaya di monorepo internal OpenAI, lalu berhenti melakukan pengujian.

• 25 Juli 2026, 22:49:45 UTC — OpenAI membalas dan mengonfirmasi bahwa masalah tersebut telah diperbaiki, sekitar 14 jam setelah pengajuan awal.

• 28 Juli 2026 — Discourse menerbitkan imbauan GHSA-vhm9-85gw-x335 beserta panduan penambalan dan pembangunan ulang.

• 1 September 2026 — OpenAI membayar bounty sebesar $6.500 dan menandai laporan tersebut sebagai telah diselesaikan.

Tanggal-tanggal di atas adalah milik Hacktron, bukan hasil rekonstruksi. Tanggal terbit 13 September pada postingannya sendiri, laporan Wall Street Journal 17 September, dan artikel TechCrunch 18 September merupakan rangkaian terpisah yang lebih belakangan: pekerjaannya terjadi pada Juli, tulisannya terbit pada pertengahan September.

Bagaimana unggahan gambar berujung pada kompromi server

Rantai ini dimulai dengan fitur yang biasa saja. Discourse biasanya memeriksa gambar yang diunggah dengan pustaka bernama FastImage, tetapi FastImage tidak mendukung HEIF, format kontainer yang digunakan perangkat Apple untuk foto. Oleh karena itu, file-file tersebut diteruskan ke alat command-line ImageMagick untuk dikonversi, yang kemudian menyerahkannya ke libheif untuk didekode. Hal itu menempatkan parser tepat di depan file yang dikendalikan penyerang — pola persis yang dimaksud komik dependensi xkcd, yang dikutip Hacktron dalam referensinya.

Hacktron menemukan bahwa paket libheif yang terpasang di image Docker Discourse tidak memiliki perbaikan keamanan. Image Discourse dibangun di atas Debian 12, yang memasang libheif 1.19.7; Debian 13 saat itu masih mengirimkan 1.19.8. Bug itu sendiri terdapat di HeifPixelImage::overlay(), yang mengompositkan gambar overlay ke gambar dasar. Menurut advisory libheif sendiri, ketika child overlay memiliki kedalaman bit yang berbeda untuk kanal alfanya dibandingkan kanal warnanya, fungsi tersebut mengindeks bidang alfa menggunakan stride kanal warna, bukan stride bidang alfa. Dengan gambar berukuran 100 kali 50 pada warna 10-bit dan alfa 8-bit, advisory menghitung bahwa kode tersebut membaca 3.123 byte melewati akhir buffer 7.168 byte.

Itu memberi penyerang memori heap yang bocor, yang berguna untuk mengalahkan pengacakan alamat — bukan, dengan sendirinya, sebuah shell. Beranjak dari kebocoran itu menuju eksekusi adalah bagian yang memerlukan sebuah model, dan itulah bagian yang tidak dijelaskan oleh CVE tersebut. Rantai serangan itu kemudian melintasi batas kepercayaan yang menurut Hacktron adalah inti ceritanya: forum OpenAI menawarkan "Masuk dengan OpenAI" melalui auth.openai.com, yaitu single sign-on yang sama yang digunakan staf di tempat lain. Kendali atas server forum berarti para peneliti dapat mengambil alih akun ChatGPT dan Codex milik anggota forum yang bekerja di OpenAI, tanpa interaksi dari para korban. Seperti dikatakan Hacktron, "kerentanan untuk melakukan eskalasi tidak spesifik Discourse," dan layanan OpenAI pihak pertama atau ketiga mana pun yang menggunakan sign-on tersebut akan memberikan akses yang sama.

Mapan, dan disimpulkan

Arsip menilai catatan ini dengan keyakinan A, tidak disengketakan, tingkat keparahan tinggi, tanpa kerugian nyata yang tercatat. Bidang-bidang itu tetap valid. Namun laporannya merupakan catatan dari satu tim peneliti, dikuatkan dan bukan direkonstruksi secara independen, dan penting untuk memisahkan apa yang terdokumentasi dari apa yang dinyatakan.

Ditetapkan berdasarkan catatan primer. CVE-2026-32882 ada, diterbitkan pada 19 Mei 2026, memengaruhi libheif 1.21.2 dan versi sebelumnya, serta diperbaiki di libheif 1.22.0. Catatan MITRE memberinya skor 7.1, dengan vektor serangan jaringan, kompleksitas rendah, tidak diperlukan hak istimewa, diperlukan interaksi pengguna, serta dampak kerahasiaan rendah dan ketersediaan tinggi — crash atau kebocoran memori. Advisory Discourse GHSA-vhm9-85gw-x335, diterbitkan 28 Juli 2026 dan dikreditkan kepada hacktronai-research, melacak CVE yang sama dan menilai hasilnya Tinggi pada 8.8, dengan hak istimewa rendah yang diperlukan, tanpa interaksi pengguna, dan dampak tinggi pada ketiga aspek kerahasiaan, integritas, dan ketersediaan. Dokumen itu mencantumkan versi yang telah ditambal 2026.7.0, 2026.6.1, 2026.5.2, dan 2026.1.6, serta menyatakan bahwa image Docker terbaru menyertakan libheif yang telah ditambal.

Dikonfirmasi oleh dua media independen. Bahwa para peneliti menggunakan Claude untuk menemukan dan mempersenjatai rantai tersebut, bahwa kompromi forum menyebabkan akses ke akun staf, bahwa OpenAI memperbaikinya dalam waktu sekitar 14 jam dan membayar $6,500, bahwa bukti akses adalah satu pull request, dan bahwa OpenAI menyatakan pengujian forum itu sendiri berada di luar cakupan bounty-nya — semua ini muncul di The Hacker News dan TechCrunch, yang keduanya mengutip tulisan Hacktron secara langsung.

Diklaim oleh Hacktron, tidak diverifikasi secara independen. Bahwa eksekusi kode di forum itu sama sekali dapat dicapai dengan cara yang dijelaskan — melalui loop agen otonom dan instance uji yang diproksikan — bersandar pada keterangan Hacktron dan belum direproduksi oleh pihak ketiga; The Hacker News menyatakan telah menghubungi Hacktron dengan pertanyaan tentang bagaimana eksekusi kode forum itu dicapai dan tentang cakupan akses akun, dan tidak melaporkan telah menerima jawaban. Klaim bahwa kelas kelemahan yang sama menjangkau Slack, Meta, GitHub Enterprise, dan framework web, menurut penilaian The Hacker News sendiri, "didukung secara tidak merata": kelemahan Next.js dikonfirmasi dalam advisory Vercel dan pengelola libheif mengonfirmasi eksploit yang berfungsi untuk bug yang terkait dengan Meta, tetapi klaim yang lebih luas tentang eksekusi kode di banyak aplikasi belum dikonfirmasi secara independen. OpenAI sama sekali belum menerbitkan deskripsi teknis tentang kelemahan sign-on; OpenAI mengonfirmasi temuan itu melalui perbaikan dan pembayaran, bukan dengan mendokumentasikan pengambilalihan akun.

Sama sekali belum dapat dipastikan. Berapa banyak akun karyawan yang dapat diakses — The Hacker News menyebut "beberapa", TechCrunch menyebut "sejumlah", dan Hacktron tidak memberikan angka. Apakah celah tersebut pernah digunakan oleh pihak lain: The Hacker News melaporkan tidak ada tanda penggunaan di dunia nyata dan mencatat bahwa CVE tersebut tidak ada dalam daftar kerentanan pemerintah AS yang diketahui dieksploitasi per pertengahan September 2026, sekaligus memperingatkan bahwa daftar itu bukan bukti yang mendukung salah satu kemungkinan. Dan apakah organisasi yang sudah menambal kerentanan tetap harus mencari jejak akses sebelumnya — The Hacker News mengatakan bahwa sumber-sumber tidak memberi keterangan tentang hal itu.

Apa yang dilakukan model, dan apa yang dilakukan manusia

Lonjakan kemampuan inilah yang ditekankan Hacktron sendiri, dan itu didokumentasikan dengan kata-katanya sendiri, bukan disimpulkan. Tim tersebut mula-mula menggunakan Claude Opus 4.8, dalam build yang disediakan untuk peneliti keamanan siber, untuk memeriksa paket libheif yang terpasang dan membuat eksploit dengan ASLR dinonaktifkan. Dengan ASLR aktif, proses itu macet selama beberapa sesi. Anthropic merilis Claude Opus 5 pada malam tanggal 24 Juli 2026; dalam sesi baru, model tersebut menghasilkan eksploit ARM64 yang berfungsi untuk Mac lokal dalam waktu sekitar tiga jam, dan pada pukul 06.00 pagi berikutnya telah diporting ke konfigurasi x86-64 yang digunakan Discourse.

Claude Opus 5 juga dirilis dengan pengaman terhadap penulisan kode eksploit untuk target nyata. Hacktron mengatakan mereka mengakalinya dengan mengarahkan model ke instans Discourse Cloud miliknya sendiri, yang diproksikan melalui host bernama rce.ee/ctf-forum sehingga target tampak seperti latihan capture-the-flag, dan dengan menjalankannya dalam loop tujuan otonom. Tim itu menegaskan bahwa ini bukan peretasan tanpa pengawasan: "panduan manusia yang terampil tetap penting," tulis mereka, sementara jumlah pekerjaan yang dapat dilakukan tim kecil meningkat secara dramatis. Dalam kampanye HEIF Heist yang lebih luas, Hacktron mengatakan mereka menggunakan GPT-5.6 Sol dari OpenAI untuk kasus-kasus di mana mereka sama sekali tidak tahu tentang target sebelumnya.

Aspek ekonominya adalah argumen yang ingin Hacktron diingat oleh pembaca. Di seluruh kampanye yang lebih luas — melacak kelas kerentanan yang sama melalui Slack, Meta, GitHub Enterprise, Ruby on Rails, serta framework Next.js, Astro, dan Gatsby — dikatakan bahwa dua bulan kerja oleh tiga peneliti menelan biaya kurang dari $3.000 untuk token, dengan setiap target baru membutuhkan satu atau dua hari untuk diadaptasi. Disebutkan juga bahwa pihaknya tidak mengetahui adanya perusahaan yang mendeteksi aktivitas tersebut selain Shopify, meskipun ribuan gambar uji dikirim dan pemroses gambar mengalami crash berulang kali.

Apa yang berubah setelahnya

Discourse menerima laporan tersebut pada hari Sabtu, membalas pada hari Minggu, sudah memiliki perbaikan pada hari Senin, dan menerbitkan advisory-nya pada 28 Juli, dengan menambahkan sandboxing untuk pemrosesan gambar sebagai pertahanan berlapis. Advisory-nya memperingatkan para self-hoster bahwa pembaruan antarmuka web saja mungkin tidak menggantikan pustaka yang mendasarinya, dan bahwa pembangunan ulang penuh dari /var/discourse diperlukan. Debian menerbitkan pembaruan keamanan untuk libheif di Debian 13 pada 8 Agustus 2026, yang dilacak sebagai DSA-6417-1. Di sisi upstream, Hacktron mengarahkan pembaca ke libheif 1.23.4 sebagai rilis keamanan terbaru per 14 September 2026, dan mencatat bahwa paket distribusi mungkin membawa perbaikan yang di-backport dengan nomor versi yang lebih lama, sehingga advisory paket harus diperiksa selain versi upstream.

Bagi OpenAI, perbaikan diterapkan dalam sekitar 14 jam sejak laporan pada 25 Juli, dan bounty dibayarkan pada 1 September. Perusahaan melampirkan klarifikasi cakupan pada pembayaran tersebut: pengujian terhadap community.openai.com yang di-host oleh Discourse secara eksplisit dikecualikan dari program bug bounty-nya, dan penghargaan itu mengakui temuan di sisi OpenAI, bukan tindakan terhadap Discourse. Itu layak dibaca dengan saksama. $6.500 adalah pembayaran untuk temuan sign-on, bukan untuk rantai forum, dan pekerjaan forum yang memungkinkan rantai tersebut, menurut pengakuan OpenAI sendiri, berada di luar cakupan.

Mengapa CVE tidak cocok dengan judul berita

Pemberitaan kasus ini cenderung menggabungkan dua peringkat keparahan yang berbeda menjadi satu. Advisory libheif dan CVE menjelaskan pembacaan di luar batas dengan dampak kerahasiaan yang dinilai rendah dan dampak ketersediaan yang dinilai tinggi: crash, atau bocor memori. Advisory Discourse menjelaskan apa yang terjadi ketika pembacaan itu dikombinasikan dengan upaya eksploitasi dan cacat kedua, dan menilainya 8,8 dengan dampak penuh di ketiga kategori. Keduanya tidak salah; keduanya menjawab pertanyaan yang berbeda. CVE menjawab "seberapa buruk bug pustaka itu?" dan advisory forum menjawab "seberapa buruk masalah forum itu?"

Konsekuensi praktisnya adalah bahwa pembaca yang memindai feed CVE untuk mencari cacat eksekusi kode jarak jauh yang kritis di libheif tidak akan menemukannya di sini, dan bisa secara wajar menyimpulkan bahwa mereka tidak terdampak. Panduan Hacktron sendiri justru sebaliknya: layanan apa pun yang menerima gambar HEIC, HEIF, atau AVIF yang dipasok pengguna dan mendekodenya melalui libheif yang belum ditambal harus dianggap terekspos, dan nomor versi saja bukan pemeriksaan yang memadai karena backport bergerak di bawah string versi yang sudah usang. Tiga mitigasi yang direkomendasikannya adalah memperbarui libheif dan libde265 melalui saluran keamanan distribusi atau rilis upstream terkini, menonaktifkan dekode HEIF dan AVIF yang tidak tepercaya di tempat yang tidak diperlukan atau mengisolasi pemrosesan gambar dalam sandbox sementara, dan — yang berlaku lebih luas daripada pustaka gambar — membatasi layanan mana yang dipercaya oleh satu sign-on dan mewajibkan pemeriksaan identitas baru sebelum tindakan sensitif alih-alih memercayai sesi yang sudah ada.

Poin terakhir itulah temuan yang dapat diterapkan secara luas. Forum bukanlah kerentanannya; forum adalah pintu masuknya. Layanan publik dengan tingkat kepercayaan lebih rendah yang berbagi penyedia identitas dengan perkakas internal berarti bahwa menembus aset terlemah di lingkungan tersebut akan memberikan akses ke aset terkuat. Tidak ada dalam laporan Hacktron yang menunjukkan bahwa OpenAI ceroboh terhadap forum itu sendiri — Discourse, menurut penilaian tim sendiri, "sebenarnya bukan target yang mudah" — dan itulah tepatnya alasan kasus ini dikutip: batas kepercayaan, bukan bug-nya, yang gagal.