Ricercatori hanno usato Claude per hackerare i sistemi interni di OpenAI in una catena di bug bounty

Il 25 luglio 2026 un team di tre persone della società di sicurezza Hacktron AI ha usato Claude Opus 5 di Anthropic per concatenare due vulnerabilità e assumere il controllo di account ChatGPT e Codex appartenenti a dipendenti OpenAI, poi ha usato uno di quegli account per aprire una pull request nel repository dei sorgenti interno di OpenAI. Il punto d'ingresso non era una pagina di accesso né una chiave API: era un caricamento di immagini sul forum pubblico di assistenza di OpenAI, community.openai.com, che gira sul software open source per forum Discourse. La seconda vulnerabilità era nel sistema di accesso condiviso di OpenAI stesso, non nel forum. Non è stato letto alcun codice sorgente, non è stato unito nulla, nessun dato dei clienti è stato toccato e l'archivio non registra alcun danno nel mondo reale: si trattava di ricerca di sicurezza segnalata al fornitore, non di un attacco contro di esso. La voce è datata 18 settembre 2026, il giorno in cui TechCrunch ha riportato la scoperta. Questo incidente si colloca accanto alle altre voci documentate in l'Orca AI Incident Archive, dove ogni voce riporta le proprie fonti, gravità, grado di affidabilità e flag di contestazione.

Due cose rendono il caso più di una colorita storia di bug bounty. La prima è la velocità: Hacktron afferma che l'intero percorso, dal primo sguardo al forum fino all'accesso al repository interno, ha richiesto meno di 72 ore, e che il modello con cui aveva iniziato non era in grado di svolgere il compito. La seconda è una discrepanza che i numeri in evidenza nascondono: il CVE citato dai resoconti, CVE-2026-32882, è registrato come una lettura che manda in crash il software o rivela memoria, non come un bug di esecuzione di codice. L'advisory di Discourse classifica il risultato come esecuzione di codice remoto. Entrambe le cose sono vere, e il divario tra le due è esattamente dove si colloca il contributo dell'AI.

Ciò che Hacktron dice di aver trovato, e quando

Hacktron ha pubblicato il proprio resoconto, "Hacking OpenAI", sul proprio sito il 13 settembre 2026. Il Wall Street Journal ne ha dato notizia la sera di giovedì 17 settembre, secondo TechCrunch, che a sua volta ha pubblicato venerdì 18 settembre. Gli eventi descritti si sono verificati circa otto settimane prima, e la cronologia fornita da Hacktron è precisa al riguardo:

• 23 luglio 2026 — il team ripercorre il percorso di caricamento HEIF di Discourse attraverso ImageMagick fino a libheif e individua l'overflow dell'heap.

• 24 luglio 2026 — Claude Opus 4.8 produce un exploit funzionante di esecuzione del codice con ASLR, la difesa standard di randomizzazione degli indirizzi, disabilitata.

• 25 luglio 2026, 06:00 UTC — utilizzando un modello più recente, il team conferma un'esecuzione locale affidabile del codice tramite il caricamento di un'immagine con ASLR attivo.

• 25 luglio 2026, 08:00–10:00 UTC — il team invia una segnalazione tramite il programma bug bounty di OpenAI su Bugcrowd.

• 25 luglio 2026, 10:00 UTC — l'exploit funziona contro l'istanza Discourse Cloud del team stesso e poi contro il forum di OpenAI.

• 25 luglio 2026, 13:30–15:30 UTC — il team usa l'account Codex di un dipendente OpenAI per aprire una pull request innocua nel monorepo interno di OpenAI, poi interrompe i test.

• 25 luglio 2026, 22:49:45 UTC — OpenAI risponde confermando che il problema è stato risolto, circa 14 ore dopo la segnalazione iniziale.

• 28 luglio 2026 — Discourse pubblica l'avviso GHSA-vhm9-85gw-x335 con le indicazioni per l'applicazione della patch e la ricostruzione.

• 1 settembre 2026 — OpenAI paga una ricompensa di $6.500 e contrassegna il report come risolto.

Le date sopra sono di Hacktron, non una ricostruzione. La data di pubblicazione del 13 settembre sul suo stesso post, il resoconto del Wall Street Journal del 17 settembre e l'articolo di TechCrunch del 18 settembre sono una sequenza separata e successiva: il lavoro è avvenuto a luglio, la stesura è arrivata a metà settembre.

Come un caricamento di immagini è diventato una compromissione del server

La catena inizia con una funzionalità banale. Discourse normalmente controlla le immagini caricate con una libreria chiamata FastImage, ma FastImage non supporta HEIF, il formato contenitore che i dispositivi Apple usano per le foto. Quei file venivano quindi passati allo strumento da riga di comando di ImageMagick per la conversione, che li affidava a libheif per la decodifica. Ciò metteva un parser direttamente davanti a file controllati dall’attaccante — esattamente lo schema che il fumetto sulle dipendenze di xkcd ha in mente, che Hacktron cita nei suoi riferimenti.

Hacktron ha scoperto che al pacchetto libheif installato nell'immagine Docker di Discourse mancavano correzioni di sicurezza. L'immagine di Discourse era basata su Debian 12, che installava libheif 1.19.7; all'epoca Debian 13 distribuiva ancora la 1.19.8. Il bug stesso risiede in HeifPixelImage::overlay(), che compone un'immagine overlay su un'immagine di base. Secondo il bollettino di libheif stesso, quando un figlio overlay ha una profondità di bit del canale alpha diversa da quella dei canali di colore, la funzione indicizza il piano alpha usando lo stride del canale di colore anziché quello del piano alpha. Con un'immagine da 100 x 50 con colore a 10 bit e alpha a 8 bit, secondo i calcoli del bollettino il codice legge 3.123 byte oltre la fine di un buffer da 7.168 byte.

Questo fornisce a un attaccante memoria heap trapelata, utile per aggirare la randomizzazione degli indirizzi — non, di per sé, una shell. Passare dalla fuga di memoria all'esecuzione è la parte per cui è servito un modello, ed è la parte che la CVE non descrive. La catena ha poi attraversato un confine di fiducia che, secondo Hacktron, è la vera storia: il forum di OpenAI offre "Sign in with OpenAI" tramite auth.openai.com, lo stesso single sign-on che lo staff usa altrove. Il controllo del server del forum significava che i ricercatori potevano assumere il controllo degli account ChatGPT e Codex dei membri del forum che lavoravano presso OpenAI, senza alcuna interazione da parte delle vittime. Come dice Hacktron, "la vulnerabilità che consente l'escalation non è specifica di Discourse", e qualsiasi servizio OpenAI di prima o terza parte che utilizzasse quel single sign-on avrebbe concesso lo stesso accesso.

Stabilito e dedotto

L'archivio assegna a questo record un'affidabilità A, non contestata, gravità alta, senza alcun danno reale registrato. Quei campi reggono. Ma il resoconto proviene da un unico team di ricerca, corroborato anziché ricostruito in modo indipendente, e vale la pena distinguere ciò che è documentato da ciò che è affermato.

Stabilito dai registri primari. CVE-2026-32882 esiste, è stato pubblicato il 19 maggio 2026, interessa libheif 1.21.2 e versioni precedenti ed è stato corretto in libheif 1.22.0. Il record MITRE gli assegna 7.1, con vettore di attacco di rete, bassa complessità, nessun privilegio richiesto, interazione utente richiesta e impatti di bassa riservatezza e alta disponibilità — un crash o una perdita di memoria. L'avviso di Discourse GHSA-vhm9-85gw-x335, pubblicato il 28 luglio 2026 e attribuito a hacktronai-research, tiene traccia dello stesso CVE e valuta l'esito Alto a 8.8, con bassi privilegi richiesti, nessuna interazione utente e alto impatto su tutti e tre riservatezza, integrità e disponibilità. Elenca le versioni corrette 2026.7.0, 2026.6.1, 2026.5.2 e 2026.1.6, e afferma che l'immagine Docker più recente include libheif corretto.

Stabilito da due testate indipendenti. Che i ricercatori abbiano usato Claude per individuare e trasformare in arma la catena, che una compromissione del forum abbia portato all'accesso all'account di un membro dello staff, che OpenAI l'abbia risolto in circa 14 ore e abbia pagato 6.500 dollari, che la prova dell'accesso fosse una singola pull request e che OpenAI affermi che testare il forum stesso rientrasse al di fuori dell'ambito del suo programma di bug bounty: tutto questo compare in The Hacker News e TechCrunch, entrambe citano direttamente il resoconto di Hacktron.

Affermato da Hacktron, non verificato in modo indipendente. Il fatto che l'esecuzione di codice sul forum sia stata effettivamente ottenuta nel modo descritto — tramite un ciclo autonomo di agenti e un'istanza di test con proxy — si basa sul resoconto di Hacktron e non è stata riprodotta da terzi; The Hacker News afferma di aver contattato Hacktron con domande su come sia stata ottenuta l'esecuzione di codice sul forum e sulla portata dell'accesso all'account, e non riferisce di aver ricevuto risposte. L'affermazione che la stessa classe di vulnerabilità abbia interessato Slack, Meta, GitHub Enterprise e framework web è, secondo la valutazione di The Hacker News, "sostenuta in modo disomogeneo": una vulnerabilità di Next.js è confermata nell'avviso di Vercel e i manutentori di libheif hanno confermato un exploit funzionante per il bug legato a Meta, ma l'affermazione più ampia di esecuzione di codice attraverso molte applicazioni non è stata confermata in modo indipendente. OpenAI non ha pubblicato alcuna descrizione tecnica della vulnerabilità di accesso; ha confermato la scoperta tramite la correzione e il pagamento anziché documentando le compromissioni degli account.

Non stabilito affatto. Quanti account dei dipendenti fossero raggiungibili — The Hacker News dice "diversi", TechCrunch dice "molteplici", e Hacktron non fornisce alcun numero. Se la falla sia mai stata usata da qualcun altro: The Hacker News non riporta segni di utilizzo nel mondo reale e osserva che il CVE non era nell'elenco delle vulnerabilità note per essere sfruttate del governo statunitense a metà settembre 2026, avvertendo al contempo che l'elenco non costituisce una prova in un senso o nell'altro. E se le organizzazioni che avevano già applicato la patch dovessero comunque cercare accessi precedenti — The Hacker News afferma che le fonti tacciono su questo punto.

Cosa hanno fatto i modelli e cosa hanno fatto gli umani

Il salto di capacità è l'aspetto su cui Hacktron stessa pone l'accento, ed è documentato con parole proprie anziché dedotto. Il team ha inizialmente usato Claude Opus 4.8, in una build resa disponibile ai ricercatori di cybersecurity, per ispezionare il pacchetto libheif installato e realizzare un exploit con ASLR disabilitato. Con ASLR attivo, si è bloccato nel corso di diverse sessioni. Anthropic ha rilasciato Claude Opus 5 la sera del 24 luglio 2026; in una nuova sessione il nuovo modello ha prodotto un exploit ARM64 funzionante per un Mac locale in circa tre ore, e entro le 06:00 del mattino successivo era stato portato alla configurazione x86-64 usata da Discourse.

Claude Opus 5 è stato rilasciato anche con salvaguardie contro la scrittura di codice exploit per bersagli reali. Hacktron afferma di averle aggirate indirizzando il modello verso la propria istanza Discourse Cloud, con proxy tramite un host denominato rce.ee/ctf-forum in modo che il bersaglio sembrasse un esercizio capture-the-flag, e facendolo funzionare in un ciclo autonomo orientato a un obiettivo. Il team è esplicito sul fatto che non si trattava di hacking senza supervisione: «una guida umana esperta è rimasta importante», scrive, mentre la quantità di lavoro che un piccolo team poteva svolgere è aumentata drasticamente. Nella più ampia campagna HEIF Heist, Hacktron afferma di aver usato GPT-5.6 Sol di OpenAI per i casi in cui non sapeva nulla in anticipo sul bersaglio.

L’aspetto economico è la tesi che Hacktron vuole che il lettore porti con sé. Nel corso della più ampia campagna — che traccia la stessa classe di vulnerabilità attraverso Slack, Meta, GitHub Enterprise, Ruby on Rails e i framework Next.js, Astro e Gatsby — sostiene che due mesi di lavoro da parte di tre ricercatori sono costati meno di 3.000 dollari in token, con ogni nuovo bersaglio che ha richiesto uno o due giorni per l’adattamento. Afferma inoltre di non essere a conoscenza di alcuna azienda che abbia rilevato l’attività tranne Shopify, nonostante siano state inviate migliaia di immagini di test e i processori di immagini siano andati ripetutamente in crash.

Cosa è cambiato in seguito

Discourse ha ricevuto la segnalazione di sabato, ha risposto domenica, aveva pronta una correzione entro lunedì e ha pubblicato il proprio avviso il 28 luglio, aggiungendo il sandboxing per l'elaborazione delle immagini come difesa in profondità. Il suo avviso mette in guardia chi ospita autonomamente il servizio che un aggiornamento della sola interfaccia web potrebbe non sostituire la libreria sottostante e che è necessaria una ricostruzione completa da /var/discourse. Debian ha pubblicato un aggiornamento di sicurezza per libheif di Debian 13 l'8 agosto 2026, tracciato come DSA-6417-1. Nel progetto upstream, Hacktron indica ai lettori libheif 1.23.4 come l'ultima release di sicurezza al 14 settembre 2026 e osserva che i pacchetti delle distribuzioni potrebbero contenere correzioni backportate con un numero di versione precedente, quindi è necessario verificare sia l'avviso del pacchetto sia la versione upstream.

Per OpenAI, la correzione è arrivata entro circa 14 ore dalla segnalazione del 25 luglio, e la ricompensa è stata pagata il 1° settembre. L'azienda ha allegato al pagamento un chiarimento sull'ambito: i test contro community.openai.com, ospitato su Discourse, erano esplicitamente esclusi dal suo programma di bug bounty, e il riconoscimento premia la scoperta lato OpenAI anziché le azioni contro Discourse. Vale la pena leggerlo con attenzione. I 6.500 dollari sono un pagamento per la scoperta relativa al sign-on, non per la catena del forum, e il lavoro sul forum che ha reso possibile la catena era, per ammissione stessa di OpenAI, fuori ambito.

Perché il CVE non corrisponde al titolo

La copertura di questo caso tende a comprimere due diversi livelli di gravità in uno. L'advisory libheif e il CVE descrivono una lettura fuori dai limiti con un impatto sulla riservatezza valutato basso e un impatto sulla disponibilità valutato alto: crash o perdita di memoria. L'advisory Discourse descrive cosa è successo quando quella lettura è stata combinata con un lavoro di sfruttamento e una seconda vulnerabilità, e lo valuta 8.8 con impatto pieno in tutte e tre le categorie. Nessuno dei due è sbagliato; rispondono a domande diverse. Il CVE risponde a "quanto è grave il bug della libreria?" e l'advisory del forum risponde a "quanto è grave il problema del forum?"

La conseguenza pratica è che un lettore che esamina i feed CVE alla ricerca di una grave vulnerabilità di esecuzione di codice remoto in libheif non ne troverà una qui, e potrebbe ragionevolmente concludere di non essere interessato. Le indicazioni di Hacktron sono l'opposto: qualsiasi servizio che accetti immagini HEIC, HEIF o AVIF fornite dall'utente e le decodifichi tramite una libheif non corretta dovrebbe essere considerato esposto, e il solo numero di versione non è un controllo sufficiente, perché i backport vengono applicati mantenendo stringhe di versione obsolete. Le tre mitigazioni che raccomanda sono: aggiornare libheif e libde265 tramite il canale di sicurezza della distribuzione o un rilascio upstream corrente; disabilitare la decodifica di HEIF e AVIF non attendibili dove non è necessaria oppure isolare l'elaborazione delle immagini in una sandbox effimera; e — quella che si generalizza oltre le librerie di immagini — limitare i servizi di cui si fida un single sign-on e richiedere una nuova verifica dell'identità prima di azioni sensibili invece di fidarsi di una sessione esistente.

Quel ultimo punto è la conclusione trasferibile. Il forum non era la vulnerabilità; era la porta d'ingresso. Un servizio pubblico a minore fiducia che condivideva un provider di identità con gli strumenti interni significava che compromettere la proprietà più debole dell'infrastruttura consentiva di ottenere quella più forte. Nulla nel resoconto di Hacktron suggerisce che OpenAI fosse stata negligente riguardo al forum stesso — Discourse, secondo la valutazione del team, "non è affatto un obiettivo facile" — ed è proprio per questo che il caso viene citato: ciò che ha ceduto è il confine di fiducia, non il bug.