Forskare använde Claude för att hacka OpenAI:s interna system i en bug bounty-kedja

Den 25 juli 2026 använde ett trepersonsteam på säkerhetsföretaget Hacktron AI Anthropics Claude Opus 5 för att kedja samman två sårbarheter och ta över ChatGPT- och Codex-konton som tillhörde OpenAI-anställda, och använde sedan ett av dessa konton för att öppna en pull request i OpenAIs interna källkodsarkiv. Ingångspunkten var inte en inloggningssida eller en API-nyckel: det var en bilduppladdning på OpenAIs offentliga hjälpforum, community.openai.com, som körs på forumprogramvaran med öppen källkod Discourse. Den andra sårbarheten fanns i OpenAIs egen gemensamma inloggning, inte i forumet. Ingen källkod lästes, inget mergades, inga kunddata rördes, och arkivet registrerar ingen verklig skada — detta var säkerhetsforskning som rapporterades till leverantören, inte en attack mot den. Posten är daterad den 18 september 2026, dagen då TechCrunch rapporterade om fyndet. Den här incidenten finns tillsammans med de andra dokumenterade posterna i Orca AI Incident Archive, där varje post har sina egna källor, allvarlighetsgrad, konfidensgrad och flagga för om den är omtvistad.

Två saker gör att fallet är mer än en färgstark bug bounty-historia. Det första är hastigheten: Hacktron säger att hela vägen från att först titta på forumet till att ha tillgång till det interna kodförrådet tog mindre än 72 timmar, och att modellen man började med inte kunde göra jobbet. Det andra är en avvikelse som rubriksiffrorna döljer – CVE:n som medierapporteringen namnger, CVE-2026-32882, är registrerad som en out-of-bounds-läsning som kraschar programvara eller läcker minne, inte som en kodkörningsbugg. Discourses egen säkerhetsavisering klassar utfallet som fjärrkodkörning. Båda är sanna, och gapet mellan dem är där AI:ns bidrag faktiskt ligger.

Vad Hacktron säger sig ha hittat, och när

Hacktron publicerade sin rapport, "Hacking OpenAI", på sin egen webbplats den 13 september 2026. The Wall Street Journal rapporterade om den på kvällen torsdagen den 17 september, enligt TechCrunch, som följde på fredagen den 18 september. Händelserna som beskrivs inträffade ungefär åtta veckor tidigare, och Hacktrons egen tidslinje är exakt när det gäller dem:

• 23 juli 2026 — spårar teamet Discourses HEIF-uppladdningsväg genom ImageMagick till libheif och hittar heap-overflowen.

• 24 juli 2026 — Claude Opus 4.8 producerar en fungerande exploit för kodkörning där ASLR, det standardmässiga adressrandomiseringsskyddet, är inaktiverat.

• 25 juli 2026, 06:00 UTC — med en senare modell bekräftar teamet tillförlitlig lokal kodkörning via en bilduppladdning med ASLR aktiverat.

• 25 juli 2026, 08:00–10:00 UTC — teamet skickar in en rapport via OpenAI:s bug bounty-program på Bugcrowd.

• 25 juli 2026, 10:00 UTC — exploateringen fungerar mot teamets egen Discourse Cloud-instans och sedan mot OpenAI:s forum.

• 25 juli 2026, 13:30–15:30 UTC — teamet använder en OpenAI-anställds Codex-konto för att öppna en ofarlig pull request i OpenAI:s interna monorepo och slutar sedan testa.

• 25 juli 2026, 22:49:45 UTC — OpenAI svarar och bekräftar att problemet är åtgärdat, ungefär 14 timmar efter den ursprungliga inlämningen.

• 28 juli 2026 — Discourse publicerar säkerhetsmeddelandet GHSA-vhm9-85gw-x335 med vägledning för patchning och ombyggnad.

• 1 september 2026 – OpenAI betalar en belöning på 6 500 dollar och markerar rapporten som åtgärdad.

Datumen ovan är Hacktrons, inte en rekonstruktion. Publiceringsdatumet den 13 september på dess eget inlägg, Wall Street Journals rapport den 17 september och TechCrunch-artikeln den 18 september är en separat, senare sekvens: arbetet utfördes i juli, och texten publicerades i mitten av september.

Hur en bilduppladdning blev en serverkompromettering

Kedjan börjar med en alldaglig funktion. Discourse kontrollerar normalt uppladdade bilder med ett bibliotek som heter FastImage, men FastImage stöder inte HEIF, det containerformat som Apples enheter använder för foton. Dessa filer skickades därför till ImageMagicks kommandoradsverktyg för konvertering, som i sin tur skickade dem till libheif för avkodning. Det placerade en parser direkt framför filer som angriparen kontrollerar – exakt det mönster som xkcd-serierutan om beroenden syftar på, och som Hacktron hänvisar till i sina referenser.

Hacktron upptäckte att libheif-paketet som installerats i Docker-avbilden för Discourse saknade säkerhetskorrigeringar. Avbilden för Discourse byggdes på Debian 12, som installerade libheif 1.19.7; Debian 13 levererade fortfarande 1.19.8 vid den tiden. Själva buggen finns i HeifPixelImage::overlay(), som komponerar en överläggsbild på en basbild. Enligt libheifs egen rådgivning, när ett overlay-barn har ett annat bitdjup för sin alfakanal än för sina färgkanaler, indexerar funktionen alfaplanet med färgkanalens stride i stället för alfaplanets. Med en bild på 100 gånger 50 vid 10-bitars färg och 8-bitars alfa beräknar rådgivningen att koden läser 3 123 byte förbi slutet av en buffert på 7 168 byte.

Det ger en angripare läckt heapminne, vilket är användbart för att besegra adressrandomisering – inte i sig självt ett shell. Att ta sig från läckan till exekvering är den del som krävde en modell, och det är den del som CVE:n inte beskriver. Kedjan korsade sedan en förtroendegräns som Hacktron hävdar är den verkliga historien: OpenAIs forum erbjuder "Sign in with OpenAI" via auth.openai.com, samma single sign-on som personalen använder någon annanstans. Kontroll över forumservern innebar att forskarna kunde ta över ChatGPT- och Codex-kontona för forummedlemmar som arbetade på OpenAI, utan någon interaktion från offren. Som Hacktron uttrycker det: "sårbarheten att eskalera är inte Discourse-specifik", och alla OpenAI-tjänster från första eller tredje part som använde det single sign-onet skulle ha gett samma åtkomst.

Etablerat och härlett

Arkivet betygsätter denna post med tillförlitlighetsgrad A, inte omtvistad, allvarlighetsgrad hög, utan registrerad faktisk skada. Dessa fält håller. Men rapporteringen är en enda forskargrupps redogörelse, bekräftad snarare än oberoende rekonstruerad, och det är värt att skilja mellan vad som är dokumenterat och vad som är påstått.

Fastställt genom primära register. CVE-2026-32882 finns, publicerades den 19 maj 2026, påverkar libheif 1.21.2 och tidigare och åtgärdades i libheif 1.22.0. MITRE-posten ger den 7,1, med attackvektor nätverk, låg komplexitet, inga privilegier krävs, användarinteraktion krävs och påverkan låg konfidentialitet och hög tillgänglighet – en krasch eller en minnesläcka. Discourse rådgivning GHSA-vhm9-85gw-x335, publicerad den 28 juli 2026 och tillskriven hacktronai-research, spårar samma CVE och bedömer utfallet som High vid 8,8, med låga privilegier krävs, ingen användarinteraktion och hög påverkan på alla tre av konfidentialitet, integritet och tillgänglighet. Den listar patchade versioner 2026.7.0, 2026.6.1, 2026.5.2 och 2026.1.6, och anger att den senaste Docker-avbildningen innehåller den patchade libheif.

Bekräftat av två oberoende medier. Att forskarna använde Claude för att hitta och göra kedjan till ett vapen, att ett intrång i ett forum ledde till åtkomst till personalens konton, att OpenAI åtgärdade det inom cirka 14 timmar och betalade 6 500 dollar, att beviset för åtkomst var en enda pull request, och att OpenAI säger att testning av själva forumet föll utanför omfattningen för dess bountyprogram — allt detta framgår av The Hacker News och TechCrunch, som båda citerar Hacktrons rapport direkt.

Påstått av Hacktron, inte oberoende verifierat. Att kodkörning på forumet överhuvudtaget uppnåddes på det beskrivna sättet – genom en autonom agentloop och en proxad testinstans – bygger på Hacktrons redogörelse och har inte reproducerats av en tredje part; The Hacker News uppger att man har kontaktat Hacktron med frågor om hur kodkörningen på forumet uppnåddes och om omfattningen av kontoåtkomsten, och uppger inte att man har fått några svar. Påståendet att samma sårbarhetsklass nådde Slack, Meta, GitHub Enterprise och webbramverk är, enligt The Hacker News egen bedömning, "underbyggt ojämnt": en Next.js-sårbarhet bekräftas i Vercels säkerhetsmeddelande och libheifs underhållare bekräftade en fungerande exploit för buggen som kopplas till Meta, men det bredare påståendet om kodkörning i många applikationer har inte oberoende bekräftats. OpenAI har inte publicerat någon teknisk beskrivning av inloggningssårbarheten överhuvudtaget; man bekräftade fyndet genom fixen och betalningen snarare än genom att dokumentera kontokapningarna.

Inte alls fastställt.Hur många medarbetarkonton som kunde nås – The Hacker News säger "flera", TechCrunch säger "ett flertal" och Hacktron anger ingen siffra. Huruvida säkerhetsbristen någonsin har utnyttjats av någon annan: The Hacker News rapporterar inga tecken på användning i verkligheten och noterar att CVE inte fanns med på den amerikanska regeringens lista över sårbarheter som är kända för att ha utnyttjats i mitten av september 2026, samtidigt som de varnar för att listan inte utgör bevis åt något håll. Och huruvida organisationer som redan hade åtgärdat den ändå borde söka efter tidigare åtkomst – The Hacker News säger att källorna är tysta om den punkten.

Vad modellerna gjorde, och vad människorna gjorde

Kapacitetshoppet är den del som Hacktron själv betonar, och det är dokumenterat i dess egna ord snarare än härlett. Teamet använde först Claude Opus 4.8, i ett bygge som gjorts tillgängligt för cybersäkerhetsforskare, för att inspektera det installerade libheif-paketet och för att bygga en exploit med ASLR avstängt. Med ASLR på körde den fast under flera sessioner. Anthropic släppte Claude Opus 5 på kvällen den 24 juli 2026; i en ny session producerade den nya modellen en fungerande ARM64-exploit för en lokal Mac inom ungefär tre timmar, och vid 06:00 nästa morgon hade den porterats till den x86-64-konfiguration som Discourse använder.

Claude Opus 5 levererades också med skyddsåtgärder mot att skriva exploitkod för verkliga mål. Hacktron säger att man kringgick dem genom att rikta modellen mot sin egen Discourse Cloud-instans, proxad via en värd med namnet rce.ee/ctf-forum så att målet såg ut som en capture-the-flag-övning, och genom att köra den i en autonom målslinga. Teamet är tydliga med att detta inte var oövervakad hackning: "skicklig mänsklig vägledning förblev viktig", skriver man, samtidigt som mängden arbete som ett litet team kunde utföra ökade dramatiskt. I den bredare HEIF Heist-kampanjen säger Hacktron att man använde OpenAIs GPT-5.6 Sol för fall där man inte visste något om målet i förväg.

Ekonomin är argumentet som Hacktron vill att läsaren ska ta med sig. I den bredare kampanjen – där samma typ av fel spåras genom Slack, Meta, GitHub Enterprise, Ruby on Rails samt ramverken Next.js, Astro och Gatsby – sägs det att två månaders arbete av tre forskare kostade under 3 000 dollar i tokens, och att varje nytt mål tog en eller två dagar att anpassa. Det sägs också att man inte känner till något företag som upptäckte aktiviteten förutom Shopify, trots att tusentals testbilder skickades och bildprocessorer kraschade upprepade gånger.

Vad förändrades efteråt?

Discourse tog emot rapporten en lördag, svarade på söndagen, hade en rättning på måndagen och publicerade sin säkerhetsbulletin den 28 juli, med sandboxning för bildbehandling som försvar på djupet. Dess säkerhetsbulletin varnar självhostare att enbart en uppdatering av webbgränssnittet inte nödvändigtvis ersätter det underliggande biblioteket, och att en fullständig ombyggnad från /var/discourse krävs. Debian publicerade en säkerhetsuppdatering för libheif i Debian 13 den 8 augusti 2026, registrerad som DSA-6417-1. Uppströms hänvisar Hacktron läsarna till libheif 1.23.4 som den senaste säkerhetsversionen per den 14 september 2026, och noterar att distributionspaket kan innehålla bakåtporterade rättelser under ett äldre versionsnummer, så både paketets säkerhetsbulletin och den uppströms versionen måste kontrolleras.

För OpenAI var åtgärden på plats inom cirka 14 timmar efter rapporten den 25 juli, och belöningen betalades den 1 september. Företaget bifogade ett förtydligande av omfattningen till betalningen: testning mot det Discourse-hostade community.openai.com var uttryckligen undantagen från dess bug bounty-program, och beloppet erkänner fyndet på OpenAI:s sida snarare än åtgärderna mot Discourse. Det är värt att läsa noggrant. De 6 500 dollar är en betalning för inloggningsfyndet, inte för forumkedjan, och forumarbetet som gjorde kedjan möjlig låg enligt OpenAI själva utanför omfattningen.

Varför CVE inte matchar rubriken

Bevakningen av det här fallet tenderar att pressa samman två olika allvarlighetsbedömningar till en. libheif-säkerhetsmeddelandet och CVE-posten beskriver en läsning utanför gränserna med en konfidentialitetspåverkan bedömd som låg och en tillgänglighetspåverkan bedömd som hög: krasch eller minnesläcka. Discourse-säkerhetsmeddelandet beskriver vad som hände när den läsningen kombinerades med exploateringsarbete och en andra sårbarhet, och ger den betyget 8,8 med full påverkan inom alla tre kategorierna. Ingen av dem är fel; de besvarar olika frågor. CVE-posten besvarar ”hur allvarlig är biblioteksbuggen?” och forumets säkerhetsmeddelande besvarar ”hur allvarligt är forumproblemet?”

Den praktiska konsekvensen är att en läsare som söker igenom CVE-flöden efter en kritisk fjärrkodkörningssårbarhet i libheif inte hittar någon här, och rimligen kan dra slutsatsen att de inte påverkas. Hacktrons egen vägledning säger det motsatta: alla tjänster som tar emot användarlevererade HEIC-, HEIF- eller AVIF-bilder och avkodar dem via ett icke patchat libheif bör betraktas som exponerade, och versionsnumret ensamt är inte en tillräcklig kontroll eftersom backports flyttas under inaktuella versionssträngar. De tre åtgärderna den rekommenderar är att uppdatera libheif och libde265 via distributionens säkerhetskanal eller en aktuell upstream-version, att inaktivera avkodning av otillförlitliga HEIF- och AVIF-bilder där det inte behövs eller isolera bildbehandlingen i en tillfällig sandlåda, och — den som generaliserar bortom bildbibliotek — att begränsa vilka tjänster en single sign-on-lösning litar på och kräva en ny identitetskontroll före känsliga åtgärder i stället för att lita på en befintlig session.

Den sista punkten är det överförbara fyndet. Forumet var inte sårbarheten; det var dörren. Att en offentlig tjänst med lägre förtroende delade identitetsleverantör med interna verktyg innebar att den som bröt sig igenom den svagaste egenskapen i miljön fick den starkaste. Inget i Hacktrons redogörelse tyder på att OpenAI hade varit slarviga med själva forumet – Discourse är enligt teamets egen bedömning "faktiskt inte ett lätt mål" – och det är just därför fallet lyfts fram: det var förtroendegränsen, inte buggen, som brast.