Исследователи использовали Claude для взлома внутренних систем OpenAI в цепочке баг-баунти

25 июля 2026 года команда из трёх человек в компании по безопасности Hacktron AI использовала Claude Opus 5 от Anthropic, чтобы связать две уязвимости в цепочку и захватить аккаунты ChatGPT и Codex, принадлежащие сотрудникам OpenAI, а затем использовала один из этих аккаунтов, чтобы открыть pull request во внутреннем репозитории исходного кода OpenAI. Точкой входа была не страница входа и не API-ключ: это была загрузка изображения на публичном форуме помощи OpenAI, community.openai.com, который работает на открытом форумном программном обеспечении Discourse. Вторая уязвимость находилась в собственной системе единого входа OpenAI, а не на форуме. Никакой исходный код не читался, ничего не было объединено, данные клиентов не затрагивались, и в архиве не зафиксировано реального ущерба — это было исследование безопасности, о котором сообщили вендору, а не атака на него. Запись датирована 18 сентября 2026 года — днём, когда TechCrunch сообщил об этой находке. Этот инцидент находится в ряду других задокументированных записей в Архив инцидентов Orca AI, где каждая запись содержит собственные источники, уровень серьёзности, степень уверенности и флаг спорности.

Две вещи делают эту историю чем-то большим, чем яркая история о багбаунти. Первая — скорость: Hacktron утверждает, что весь путь от первого просмотра форума до получения доступа к внутреннему репозиторию занял менее 72 часов, и что модель, с которой всё началось, не могла справиться с задачей. Вторая — расхождение, которое скрывается за цифрами в заголовках: CVE, упомянутая в публикациях, CVE-2026-32882, зарегистрирована как чтение за границами буфера, которое приводит к сбою программы или утечке памяти, а не как ошибка выполнения кода. В собственном уведомлении Discourse результат оценивается как удалённое выполнение кода. Оба утверждения верны, и именно в разрыве между ними и находится реальный вклад ИИ.

Что Hacktron говорит, что обнаружил, и когда

Hacktron опубликовала свой разбор «Hacking OpenAI» на собственном сайте 13 сентября 2026 года. По данным TechCrunch, The Wall Street Journal сообщила о нём вечером в четверг, 17 сентября, а TechCrunch — в пятницу, 18 сентября. Описанные события произошли примерно восемью неделями ранее, и собственная хронология Hacktron точна в отношении них:

• 23 июля 2026 г. — команда прослеживает путь загрузки HEIF в Discourse через ImageMagick до libheif и обнаруживает переполнение буфера в куче.

• 24 июля 2026 г. — Claude Opus 4.8 создаёт рабочий эксплойт для выполнения кода при отключённом ASLR — стандартной защите на основе рандомизации адресов.

• 25 июля 2026 г., 06:00 UTC — используя более позднюю модель, команда подтверждает надёжное локальное выполнение кода через загрузку изображения при включённом ASLR.

• 25 июля 2026 г., 08:00–10:00 UTC — команда отправляет отчёт через программу OpenAI по поиску уязвимостей на Bugcrowd.

• 25 июля 2026 г., 10:00 UTC — эксплойт срабатывает против собственного экземпляра Discourse Cloud команды, а затем против форума OpenAI.

• 25 июля 2026 г., 13:30–15:30 UTC — команда использует учетную запись Codex сотрудника OpenAI, чтобы открыть безвредный пул-реквест во внутреннем монорепозитории OpenAI, после чего прекращает тестирование.

• 25 июля 2026 г., 22:49:45 UTC — OpenAI отвечает, подтверждая, что проблема исправлена, примерно через 14 часов после первоначальной отправки.

• 28 июля 2026 г. — Discourse публикует рекомендацию GHSA-vhm9-85gw-x335 с указаниями по установке исправления и пересборке.

• 1 сентября 2026 года — OpenAI выплачивает вознаграждение в размере 6 500 долларов и помечает отчёт как решённый.

Приведённые выше даты — это даты Hacktron, а не реконструкция. Дата публикации 13 сентября в его собственном посте, отчёт Wall Street Journal от 17 сентября и статья TechCrunch от 18 сентября образуют отдельную, более позднюю последовательность: работа была выполнена в июле, а материал вышел в середине сентября.

Как загрузка изображения привела к компрометации сервера

Цепочка начинается с заурядной функции. Discourse обычно проверяет загруженные изображения с помощью библиотеки FastImage, но FastImage не поддерживает HEIF — контейнерный формат, который устройства Apple используют для фотографий. Поэтому эти файлы передавались в инструмент командной строки ImageMagick для преобразования, который передавал их libheif для декодирования. Это поставило парсер непосредственно перед файлами, контролируемыми злоумышленником, — ровно тот паттерн, который подразумевает комикс xkcd о зависимостях и на который Hacktron ссылается в своих источниках.

Hacktron обнаружил, что в пакете libheif, установленном в Docker-образе Discourse, отсутствовали исправления безопасности. Образ Discourse был собран на Debian 12, где устанавливался libheif 1.19.7; Debian 13 на тот момент всё ещё поставлялся с 1.19.8. Сама ошибка находится в HeifPixelImage::overlay(), которая накладывает изображение-оверлей на базовое изображение. Согласно собственному рекомендательному документу libheif, когда дочерний оверлей имеет другую битовую глубину для своего альфа-канала, чем для своих цветовых каналов, функция индексирует альфа-плоскость, используя шаг цветового канала вместо шага альфа-плоскости. Для изображения 100 на 50 с 10-битным цветом и 8-битной альфой в рекомендациях рассчитывается, что код читает на 3 123 байта дальше конца 7 168-байтового буфера.

Это даёт атакующему утёкшую память кучи, что полезно для обхода рандомизации адресного пространства, но само по себе не даёт шелл. Переход от утечки к выполнению кода — это та часть, которая потребовала модели, и именно её CVE не описывает. Затем цепочка пересекла границу доверия, которая, по утверждению Hacktron, и есть суть истории: форум OpenAI предлагает «Вход через OpenAI» через auth.openai.com — тот же единый вход, который сотрудники используют и в других местах. Контроль над сервером форума означал, что исследователи могли захватить аккаунты ChatGPT и Codex участников форума, работавших в OpenAI, без какого-либо взаимодействия со стороны жертв. Как выражается Hacktron, «уязвимость для повышения привилегий не специфична для Discourse», и любой сервис OpenAI — собственный или сторонний — использующий этот единый вход, предоставил бы такой же доступ.

Установленные и выведенные

Архив оценивает эту запись как достоверность A, не оспаривается, серьёзность высокая, при этом реальный ущерб не зафиксирован. Эти поля выдерживают проверку. Но отчёт представляет собой версию одной исследовательской группы, подтверждённую, а не независимо реконструированную, и стоит отделять то, что задокументировано, от того, что утверждается.

Установлено по первичным записям. CVE-2026-32882 существует, была опубликована 19 мая 2026 года, затрагивает libheif 1.21.2 и более ранние версии и была исправлена в libheif 1.22.0. Запись MITRE оценивает её в 7.1: вектор атаки — сетевой, сложность — низкая, требуемые привилегии — отсутствуют, требуется взаимодействие с пользователем, влияние — низкая конфиденциальность и высокая доступность — сбой или утечка памяти. Рекомендация Discourse GHSA-vhm9-85gw-x335, опубликованная 28 июля 2026 года и приписываемая hacktronai-research, отслеживает тот же CVE и оценивает результат как High — 8.8, с требуемыми низкими привилегиями, без взаимодействия с пользователем и высоким влиянием на все три аспекта: конфиденциальность, целостность и доступность. В ней перечислены исправленные версии 2026.7.0, 2026.6.1, 2026.5.2 и 2026.1.6 и указано, что последний образ Docker включает исправленный libheif.

Подтверждено двумя независимыми изданиями. То, что исследователи использовали Claude, чтобы найти цепочку уязвимостей и превратить её в эксплойт, что компрометация форума привела к доступу к учётным записям сотрудников, что OpenAI устранила это примерно за 14 часов и выплатила 6 500 долларов, что доказательством доступа был единственный pull request, и что, по словам OpenAI, тестирование самого форума выходило за рамки её программы баг-баунти, — всё это фигурирует в The Hacker News и TechCrunch, которые оба напрямую цитируют отчёт Hacktron.

Утверждается Hacktron, независимо не проверено.То, что выполнение кода на форуме вообще было достигнуто описанным образом — через автономный цикл агента и проксированный тестовый экземпляр — опирается на отчёт Hacktron и не было воспроизведено третьей стороной; The Hacker News сообщает, что связалась с Hacktron с вопросами о том, как было достигнуто выполнение кода на форуме и каков был объём доступа к аккаунту, и не сообщает о получении ответов. Утверждение, что тот же класс уязвимостей затронул Slack, Meta, GitHub Enterprise и веб-фреймворки, по собственной оценке The Hacker News, «подтверждён неравномерно»: уязвимость Next.js подтверждена в рекомендательном бюллетене Vercel, а сопровождающие libheif подтвердили работающий эксплойт для ошибки, связанной с Meta, но более широкое утверждение о выполнении кода во многих приложениях не было независимо подтверждено. OpenAI вообще не опубликовала техническое описание уязвимости единого входа; она подтвердила находку через исправление и выплату, а не путём документирования захватов аккаунтов.

Совершенно не установлено. Сколько учетных записей сотрудников было доступно — The Hacker News сообщает о «нескольких», TechCrunch — о «множестве», а Hacktron не приводит числа. Использовал ли уязвимость кто-либо еще: The Hacker News сообщает об отсутствии признаков реального использования и отмечает, что по состоянию на середину сентября 2026 года CVE не было в списке известных эксплуатируемых уязвимостей правительства США, при этом предупреждая, что список не является доказательством ни в ту, ни в другую сторону. И должны ли организации, уже установившие исправления, все равно искать следы более раннего доступа — The Hacker News сообщает, что источники об этом умалчивают.

Что сделали модели и что сделали люди

Скачок возможностей — это та часть, на которой делает акцент сама Hacktron, и он задокументирован её собственными словами, а не выведен косвенно. Сначала команда использовала Claude Opus 4.8 в сборке, предоставленной исследователям в области кибербезопасности, чтобы изучить установленный пакет libheif и создать эксплойт с отключённым ASLR. При включённом ASLR дело застопорилось на протяжении нескольких сессий. Anthropic выпустила Claude Opus 5 вечером 24 июля 2026 года; в новой сессии новая модель создала рабочий эксплойт для ARM64 для локального Mac примерно за три часа, а к 06:00 следующего утра он был перенесён на конфигурацию x86-64, которую использует Discourse.

Claude Opus 5 также поставлялся с защитными механизмами против написания кода эксплойтов для реальных целей. Hacktron утверждает, что обошла их, направив модель на собственный экземпляр Discourse Cloud, проксируемый через хост с именем rce.ee/ctf-forum, так что цель выглядела как упражнение capture-the-flag, и запустив её в автономном цикле достижения цели. Команда прямо указывает, что это была не полностью автоматизированная хакерская атака без участия человека: «квалифицированное руководство со стороны человека оставалось важным», — пишет она, при этом объём работы, который могла выполнить небольшая команда, резко вырос. В рамках более масштабной кампании HEIF Heist Hacktron утверждает, что использовала OpenAI GPT-5.6 Sol для случаев, когда она ничего не знала о цели заранее.

Экономическая сторона — вот аргумент, который Hacktron хочет донести до читателя. В рамках более широкой кампании — прослеживая тот же класс уязвимостей через Slack, Meta, GitHub Enterprise, Ruby on Rails, а также фреймворки Next.js, Astro и Gatsby — утверждается, что два месяца работы трёх исследователей обошлись менее чем в $3 000 на токены, причём на адаптацию каждой новой цели уходило один-два дня. Также говорится, что Hacktron не знает ни одной компании, которая обнаружила бы эту активность, кроме Shopify, несмотря на то, что были отправлены тысячи тестовых изображений и обработчики изображений неоднократно падали.

Что изменилось после этого

Discourse получил отчёт в субботу, ответил в воскресенье, к понедельнику подготовил исправление и опубликовал рекомендацию по безопасности 28 июля, добавив песочницу для обработки изображений в качестве эшелонированной защиты. В этой рекомендации владельцы самостоятельных установок предупреждаются, что обновление только веб-интерфейса может не заменить базовую библиотеку и что требуется полная пересборка из /var/discourse. Debian опубликовал обновление безопасности для libheif в Debian 13 8 августа 2026 года с идентификатором DSA-6417-1. На стороне upstream Hacktron указывает читателям на libheif 1.23.4 как на последний выпуск с исправлениями безопасности по состоянию на 14 сентября 2026 года и отмечает, что пакеты дистрибутивов могут содержать бэкпортированные исправления под более старым номером версии, поэтому необходимо проверять как рекомендацию по пакету, так и версию upstream.

Для OpenAI исправление появилось примерно через 14 часов после отчёта от 25 июля, а вознаграждение было выплачено 1 сентября. Компания приложила к выплате уточнение области действия: тестирование против размещённого на Discourse сайта community.openai.com было явно исключено из её программы bug bounty, и награда признаёт находку на стороне OpenAI, а не действия против Discourse. Это стоит внимательно прочитать. $6,500 — это выплата за находку, связанную со входом, а не за цепочку на форуме, и работа с форумом, сделавшая цепочку возможной, по собственному признанию OpenAI, была вне области действия.

Почему CVE не соответствует заголовку

Освещение этого случая обычно сводит две разные оценки серьёзности в одну. В уведомлении libheif и CVE описывается чтение за границами буфера с влиянием на конфиденциальность, оценённым как низкое, и влиянием на доступность, оценённым как высокое: падение или утечка памяти. В уведомлении Discourse описывается, что произошло, когда это чтение сочеталось с работами по эксплуатации и второй уязвимостью, и ему присвоена оценка 8,8 с полным влиянием по всем трём категориям. Ни одна из них не ошибочна; они отвечают на разные вопросы. CVE отвечает на вопрос «насколько серьёзна ошибка в библиотеке?», а уведомление на форуме — «насколько серьёзна проблема на форуме?»

Практическое следствие состоит в том, что читатель, просматривающий ленты CVE в поисках критической уязвимости удалённого выполнения кода в libheif, не найдёт её здесь и вполне может заключить, что его это не затрагивает. Рекомендация самой Hacktron противоположна: любой сервис, который принимает предоставленные пользователями изображения HEIC, HEIF или AVIF и декодирует их через неисправленный libheif, следует считать подверженным риску, и одного номера версии недостаточно для проверки, поскольку бэкпорты скрываются за устаревшими строками версий. Три рекомендуемые меры защиты: обновить libheif и libde265 через канал безопасности дистрибутива или актуальный выпуск upstream; отключить декодирование недоверенных HEIF и AVIF там, где оно не требуется, или изолировать обработку изображений в эфемерной песочнице; и — мера, которая выходит за пределы библиотек изображений — ограничить, каким сервисам доверяет единый вход, и требовать свежей проверки личности перед чувствительными действиями вместо доверия существующей сессии.

Последний пункт — это вывод, который можно перенести на другие случаи. Форум не был уязвимостью; он был входной дверью. Публичный сервис с более низким уровнем доверия, использующий того же поставщика идентификации, что и внутренние инструменты, означал, что взлом самого слабого элемента инфраструктуры давал доступ к самому защищённому. Ничто в отчёте Hacktron не указывает на то, что OpenAI проявила небрежность в отношении самого форума — по собственной оценке команды, Discourse «на самом деле не является лёгкой мишенью», — и именно поэтому этот случай приводят в качестве примера: не сработала граница доверия, а не баг.