Các nhà nghiên cứu đã dùng Claude để hack hệ thống nội bộ của OpenAI trong một chuỗi săn thưởng lỗi

Vào ngày 25 tháng 7 năm 2026, một nhóm ba người tại công ty bảo mật Hacktron AI đã sử dụng Claude Opus 5 của Anthropic để kết hợp hai lỗ hổng và chiếm quyền điều khiển các tài khoản ChatGPT và Codex của nhân viên OpenAI, sau đó dùng một trong các tài khoản đó để mở một pull request trong kho mã nguồn nội bộ của OpenAI. Điểm xâm nhập không phải là trang đăng nhập hay khóa API: đó là một tính năng tải ảnh lên trên diễn đàn trợ giúp công khai của OpenAI, community.openai.com, chạy trên phần mềm diễn đàn mã nguồn mở Discourse. Lỗ hổng thứ hai nằm trong hệ thống đăng nhập dùng chung của chính OpenAI, không phải trong diễn đàn. Không có mã nguồn nào bị đọc, không có gì được hợp nhất, không có dữ liệu khách hàng nào bị chạm tới, và hồ sơ lưu trữ không ghi nhận thiệt hại thực tế nào — đây là nghiên cứu bảo mật được báo cáo cho nhà cung cấp, không phải một cuộc tấn công nhằm vào họ. Hồ sơ được ghi ngày 18 tháng 9 năm 2026, ngày TechCrunch đưa tin về phát hiện này. Sự cố này nằm cùng với các mục đã được ghi nhận khác trong Kho lưu trữ sự cố Orca AI, nơi mỗi hồ sơ đều có nguồn, mức độ nghiêm trọng, xếp hạng độ tin cậy và cờ tranh chấp riêng.

Có hai điều khiến vụ việc không chỉ là một câu chuyện săn lỗi nhận thưởng đầy màu sắc. Điều thứ nhất là tốc độ: Hacktron nói rằng toàn bộ quá trình từ lần đầu xem diễn đàn đến khi có được quyền truy cập kho nội bộ mất chưa đầy 72 giờ, và rằng mô hình ban đầu mà nó sử dụng không thể làm được việc đó. Điều thứ hai là một sự khác biệt mà những con số nổi bật che giấu — CVE mà các bài đưa tin nêu tên, CVE-2026-32882, được ghi nhận là lỗi đọc ngoài biên khiến phần mềm bị sập hoặc rò rỉ bộ nhớ, chứ không phải lỗi thực thi mã. Thông báo bảo mật của chính Discourse xếp kết quả vào loại thực thi mã từ xa. Cả hai đều đúng, và khoảng cách giữa chúng chính là nơi đóng góp của AI thực sự nằm.

Hacktron nói đã phát hiện ra những gì và vào thời điểm nào

Hacktron đã công bố bài viết của mình, “Hacking OpenAI”, trên trang web riêng của mình vào ngày 13 tháng 9 năm 2026. Theo TechCrunch, tờ The Wall Street Journal đã đưa tin về vụ việc vào tối thứ Năm ngày 17 tháng 9; TechCrunch đưa tin tiếp theo vào thứ Sáu ngày 18 tháng 9. Những sự kiện được mô tả đã xảy ra khoảng tám tuần trước đó, và dòng thời gian của chính Hacktron về chúng rất chính xác:

• 23 tháng 7 năm 2026 — nhóm truy vết đường tải lên HEIF của Discourse qua ImageMagick đến libheif và phát hiện lỗi tràn bộ nhớ heap.

• Ngày 24 tháng 7 năm 2026 — Claude Opus 4.8 tạo ra một exploit thực thi mã hoạt động được trong điều kiện ASLR, biện pháp phòng vệ ngẫu nhiên hoá địa chỉ tiêu chuẩn, bị vô hiệu hoá.

• 25 tháng 7 năm 2026, 06:00 UTC — sử dụng một mô hình mới hơn, nhóm xác nhận việc thực thi mã cục bộ đáng tin cậy thông qua tải lên hình ảnh khi bật ASLR.

• 25 tháng 7 năm 2026, 08:00–10:00 UTC — nhóm gửi một báo cáo thông qua chương trình săn lỗi của OpenAI trên Bugcrowd.

• 25 tháng 7 năm 2026, 10:00 UTC — mã khai thác hoạt động đối với phiên bản Discourse Cloud của chính nhóm, rồi sau đó là đối với diễn đàn của OpenAI.

• 25 tháng 7 năm 2026, 13:30–15:30 UTC — nhóm sử dụng tài khoản Codex của một nhân viên OpenAI để mở một pull request vô hại trong monorepo nội bộ của OpenAI, rồi dừng kiểm thử.

• 25 tháng 7 năm 2026, 22:49:45 UTC — OpenAI phản hồi xác nhận sự cố đã được khắc phục, khoảng 14 giờ sau lần gửi ban đầu.

• 28 tháng 7 năm 2026 — Discourse phát hành khuyến nghị GHSA-vhm9-85gw-x335 kèm hướng dẫn vá lỗi và xây dựng lại.

• Ngày 1 tháng 9 năm 2026 — OpenAI trả khoản tiền thưởng 6.500 đô la và đánh dấu báo cáo là đã được xử lý.

Những ngày tháng ở trên là của Hacktron, không phải là một sự dựng lại. Ngày xuất bản 13 tháng 9 trên bài đăng của chính họ, báo cáo của Wall Street Journal ngày 17 tháng 9 và bài viết của TechCrunch ngày 18 tháng 9 là một chuỗi riêng biệt, muộn hơn: công việc đã diễn ra vào tháng 7, bài viết được đăng vào giữa tháng 9.

Một lần tải ảnh lên đã trở thành một vụ xâm nhập máy chủ như thế nào

Chuỗi này bắt đầu từ một tính năng hết sức bình thường. Discourse thường kiểm tra ảnh được tải lên bằng một thư viện có tên FastImage, nhưng FastImage không hỗ trợ HEIF, định dạng vùng chứa mà các thiết bị của Apple dùng cho ảnh. Do đó, những tệp này được chuyển sang công cụ dòng lệnh của ImageMagick để chuyển đổi, rồi công cụ này lại giao chúng cho libheif giải mã. Điều đó đặt một trình phân tích cú pháp ngay trước các tệp do kẻ tấn công kiểm soát — đúng mô thức mà truyện tranh xkcd về phụ thuộc đang nhắm tới, và Hacktron có dẫn chiếu trong phần tài liệu tham khảo của mình.

Hacktron phát hiện rằng gói libheif được cài trong image Docker của Discourse đang thiếu các bản vá bảo mật. Image của Discourse được build trên Debian 12, nơi cài libheif 1.19.7; vào thời điểm đó Debian 13 vẫn phát hành 1.19.8. Bản thân lỗi nằm trong HeifPixelImage::overlay(), hàm tổng hợp một ảnh overlay lên một ảnh nền. Theo khuyến cáo bảo mật của chính libheif, khi một overlay con có độ sâu bit của kênh alpha khác với kênh màu, hàm này lập chỉ mục cho mặt phẳng alpha bằng stride của kênh màu thay vì của mặt phẳng alpha. Với một ảnh 100 x 50 ở màu 10-bit và alpha 8-bit, khuyến cáo tính toán rằng mã đọc vượt quá cuối bộ đệm 7.168 byte 3.123 byte.

Điều đó cho kẻ tấn công bộ nhớ heap bị rò rỉ, hữu ích để vô hiệu hóa ngẫu nhiên hóa địa chỉ — tự nó không phải là một shell. Việc đi từ rò rỉ đến thực thi là phần cần tới một mô hình, và đó là phần mà CVE không mô tả. Chuỗi tấn công sau đó vượt qua một ranh giới tin cậy mà Hacktron cho là câu chuyện thực sự: diễn đàn của OpenAI cung cấp "Sign in with OpenAI" qua auth.openai.com, cùng một cơ chế đăng nhập một lần mà nhân viên dùng ở nơi khác. Kiểm soát máy chủ diễn đàn nghĩa là các nhà nghiên cứu có thể chiếm tài khoản ChatGPT và Codex của những thành viên diễn đàn làm việc tại OpenAI, mà nạn nhân không cần tương tác. Như Hacktron diễn đạt, "lỗ hổng để leo thang không đặc thù cho Discourse," và bất kỳ dịch vụ OpenAI nào của bên thứ nhất hoặc bên thứ ba dùng cơ chế đăng nhập đó đều sẽ cấp quyền truy cập tương tự.

Được thiết lập, và được suy ra

Kho lưu trữ xếp bản ghi này độ tin cậy A, không bị tranh cãi, mức độ nghiêm trọng cao, và không ghi nhận tổn hại thực tế nào. Các trường đó vẫn đứng vững. Nhưng phần tường thuật chỉ là lời kể của một nhóm nghiên cứu duy nhất, được củng cố thay vì được tái dựng độc lập, và đáng tách bạch điều gì đã được ghi nhận bằng tài liệu với điều gì mới chỉ là khẳng định.

Được xác lập bằng các hồ sơ gốc. CVE-2026-32882 tồn tại, được công bố vào ngày 19 tháng 5 năm 2026, ảnh hưởng đến libheif 1.21.2 và các phiên bản trước đó, và đã được sửa trong libheif 1.22.0. Bản ghi MITRE chấm nó 7.1, với vector tấn công là mạng, độ phức tạp thấp, không yêu cầu đặc quyền, có yêu cầu tương tác của người dùng, và tác động thấp đến tính bảo mật cùng tác động cao đến tính khả dụng — một lần sập hoặc rò rỉ bộ nhớ. Bản tư vấn bảo mật GHSA-vhm9-85gw-x335 của Discourse, được công bố ngày 28 tháng 7 năm 2026 và ghi công cho hacktronai-research, theo dõi cùng CVE và đánh giá kết quả ở mức Cao với điểm 8.8, với yêu cầu đặc quyền thấp, không yêu cầu tương tác của người dùng, và tác động cao đến cả ba khía cạnh tính bảo mật, tính toàn vẹn và tính khả dụng. Bản này liệt kê các phiên bản đã được vá 2026.7.0, 2026.6.1, 2026.5.2 và 2026.1.6, và nêu rõ rằng image Docker mới nhất bao gồm libheif đã được vá.

Được xác nhận bởi hai cơ quan truyền thông độc lập. Việc các nhà nghiên cứu đã sử dụng Claude để tìm ra và biến chuỗi khai thác thành vũ khí, việc một vụ xâm phạm diễn đàn dẫn đến quyền truy cập tài khoản nhân viên, việc OpenAI đã khắc phục trong khoảng 14 giờ và trả 6.500 USD, việc bằng chứng truy cập chỉ là một pull request, và việc OpenAI nói rằng việc kiểm thử chính diễn đàn nằm ngoài phạm vi bounty của mình — tất cả những điều này xuất hiện trên The Hacker News và TechCrunch, cả hai đều trích dẫn trực tiếp bài viết của Hacktron.

Được Hacktron khẳng định, chưa được xác minh độc lập. Việc cho rằng quá trình thực thi mã trên diễn đàn đã đạt được theo đúng cách được mô tả — thông qua một vòng lặp tác nhân tự động và một phiên bản thử nghiệm được proxy — chỉ dựa trên lời kể của Hacktron và chưa được bên thứ ba tái lập; The Hacker News cho biết đã liên hệ với Hacktron để đặt câu hỏi về cách thức đạt được thực thi mã trên diễn đàn và về phạm vi truy cập tài khoản, đồng thời không báo cáo việc đã nhận được câu trả lời. Tuyên bố rằng cùng nhóm lỗ hổng đó đã ảnh hưởng đến Slack, Meta, GitHub Enterprise và các framework web, theo đánh giá của chính The Hacker News, là "được hỗ trợ không đồng đều": một lỗ hổng Next.js được xác nhận trong thông báo tư vấn của Vercel và những người duy trì libheif đã xác nhận một mã khai thác hoạt động được đối với lỗi gắn với Meta, nhưng tuyên bố rộng hơn về thực thi mã trên nhiều ứng dụng chưa được xác nhận độc lập. OpenAI hoàn toàn chưa công bố mô tả kỹ thuật về lỗ hổng đăng nhập; họ xác nhận phát hiện này thông qua bản sửa lỗi và khoản thanh toán thay vì bằng cách công bố tài liệu về các vụ chiếm đoạt tài khoản.

Hoàn toàn chưa được xác định. Có bao nhiêu tài khoản nhân viên có thể bị truy cập — The Hacker News nói “một số”, TechCrunch nói “nhiều”, còn Hacktron không đưa ra con số nào. Liệu lỗ hổng đã từng bị bất kỳ ai khác sử dụng hay chưa: The Hacker News báo cáo không có dấu hiệu sử dụng trong thực tế và lưu ý rằng CVE này không nằm trong danh sách các lỗ hổng đã biết bị khai thác của chính phủ Hoa Kỳ tính đến giữa tháng 9 năm 2026, đồng thời cảnh báo rằng danh sách này không phải là bằng chứng dù theo hướng nào. Và liệu các tổ chức đã vá lỗi trước đó có nên vẫn truy tìm dấu hiệu truy cập trước đó hay không — The Hacker News nói rằng các nguồn tin không đề cập đến điểm này.

Những gì các mô hình đã làm và những gì con người đã làm

Bước nhảy về năng lực là phần mà chính Hacktron nhấn mạnh, và nó được ghi lại bằng lời của chính họ chứ không phải suy đoán. Nhóm trước tiên đã dùng Claude Opus 4.8, trong một bản dựng được cung cấp cho các nhà nghiên cứu an ninh mạng, để kiểm tra gói libheif đã cài đặt và xây dựng một khai thác với ASLR bị tắt. Khi bật ASLR, nó bị kẹt qua nhiều phiên. Anthropic phát hành Claude Opus 5 vào tối ngày 24 tháng 7 năm 2026; trong một phiên mới, mô hình mới đã tạo ra một khai thác ARM64 hoạt động được cho một máy Mac cục bộ trong khoảng ba giờ, và đến 06:00 sáng hôm sau đã được chuyển sang cấu hình x86-64 mà Discourse sử dụng.

Claude Opus 5 cũng được phát hành kèm các biện pháp bảo vệ chống việc viết mã khai thác cho các mục tiêu thật. Hacktron cho biết họ đã lách các biện pháp đó bằng cách hướng mô hình vào phiên bản Discourse Cloud của chính mình, được proxy qua một máy chủ có tên rce.ee/ctf-forum để mục tiêu trông giống như một bài tập capture-the-flag, và bằng cách chạy nó trong một vòng lặp mục tiêu tự động. Nhóm khẳng định rõ rằng đây không phải là hoạt động hack không có giám sát: “hướng dẫn của con người có kỹ năng vẫn rất quan trọng”, họ viết, trong khi khối lượng công việc mà một nhóm nhỏ có thể thực hiện đã tăng lên đáng kể. Trong chiến dịch HEIF Heist rộng hơn, Hacktron cho biết họ đã sử dụng GPT-5.6 Sol của OpenAI cho những trường hợp mà họ không biết gì về mục tiêu trước đó.

Kinh tế học chính là lập luận mà Hacktron muốn người đọc ghi nhớ. Trong toàn bộ chiến dịch rộng hơn — truy vết cùng một lớp lỗ hổng qua Slack, Meta, GitHub Enterprise, Ruby on Rails và các framework Next.js, Astro và Gatsby — Hacktron nói rằng hai tháng làm việc của ba nhà nghiên cứu tốn dưới 3.000 USD tiền token, với mỗi mục tiêu mới chỉ mất một hoặc hai ngày để thích ứng. Hacktron cũng nói rằng mình không biết có công ty nào phát hiện ra hoạt động này ngoại trừ Shopify, bất chấp việc hàng nghìn hình ảnh thử nghiệm đã được gửi đi và các bộ xử lý hình ảnh liên tục bị sập.

Điều gì đã thay đổi sau đó?

Discourse nhận được báo cáo vào thứ Bảy, phản hồi vào Chủ nhật, có bản sửa lỗi vào thứ Hai và công bố khuyến cáo của mình vào ngày 28 tháng 7, bổ sung cơ chế sandbox cho xử lý hình ảnh như một lớp phòng thủ theo chiều sâu. Khuyến cáo của họ cảnh báo những người tự vận hành máy chủ rằng chỉ cập nhật giao diện web thôi có thể không thay thế được thư viện nền tảng, và cần phải xây dựng lại hoàn toàn từ /var/discourse. Debian đã công bố bản cập nhật bảo mật cho libheif của Debian 13 vào ngày 8 tháng 8 năm 2026, được theo dõi với mã DSA-6417-1. Về phía upstream, Hacktron chỉ cho độc giả đến libheif 1.23.4 như là bản phát hành bảo mật mới nhất tính đến ngày 14 tháng 9 năm 2026, và lưu ý rằng các gói của bản phân phối có thể chứa các bản sửa lỗi được backport dưới một số phiên bản cũ hơn, vì vậy cần kiểm tra cả khuyến cáo của gói lẫn phiên bản upstream.

Đối với OpenAI, bản sửa lỗi đã được triển khai trong khoảng 14 giờ kể từ báo cáo ngày 25 tháng 7, và khoản tiền thưởng được thanh toán vào ngày 1 tháng 9. Công ty đã đính kèm phần làm rõ phạm vi vào khoản thanh toán: việc kiểm thử nhắm vào community.openai.com do Discourse lưu trữ đã bị loại trừ rõ ràng khỏi chương trình săn lỗi của họ, và khoản thưởng ghi nhận phát hiện phía OpenAI chứ không phải các hành động nhắm vào Discourse. Điều đó đáng đọc kỹ. 6.500 đô la là khoản thanh toán cho phát hiện về đăng nhập, không phải cho chuỗi qua diễn đàn, và công việc trên diễn đàn giúp chuỗi đó khả thi, theo chính lời OpenAI, nằm ngoài phạm vi.

Tại sao CVE không khớp với tiêu đề

Việc đưa tin về trường hợp này có xu hướng gộp hai mức độ nghiêm trọng khác nhau vào một. Bản khuyến cáo libheif và CVE mô tả một lỗi đọc ngoài biên với tác động đến tính bảo mật được đánh giá thấp và tác động đến tính sẵn sàng được đánh giá cao: gây sập hoặc rò rỉ bộ nhớ. Bản khuyến cáo Discourse mô tả điều đã xảy ra khi lỗi đọc đó được kết hợp với nỗ lực khai thác và một lỗ hổng thứ hai, và đánh giá nó 8.8 với tác động đầy đủ trên cả ba hạng mục. Cả hai đều không sai; chúng trả lời những câu hỏi khác nhau. CVE trả lời "lỗi thư viện nghiêm trọng đến mức nào?" và bản khuyến cáo diễn đàn trả lời "vấn đề của diễn đàn nghiêm trọng đến mức nào?"

Hệ quả thực tế là một người đọc đang quét các nguồn cấp dữ liệu CVE để tìm lỗ hổng thực thi mã từ xa nghiêm trọng trong libheif sẽ không tìm thấy lỗ hổng nào ở đây, và có thể kết luận một cách hợp lý rằng mình không bị ảnh hưởng. Hướng dẫn của chính Hacktron lại ngược lại: mọi dịch vụ chấp nhận ảnh HEIC, HEIF hoặc AVIF do người dùng cung cấp và giải mã chúng qua libheif chưa được vá nên được coi là bị phơi nhiễm, và chỉ riêng số phiên bản không phải là kiểm tra đủ vì các bản backport thay đổi dưới những chuỗi phiên bản cũ. Ba biện pháp giảm thiểu mà họ khuyến nghị là cập nhật libheif và libde265 qua kênh bảo mật của bản phân phối hoặc bản phát hành upstream hiện hành, tắt giải mã HEIF và AVIF không đáng tin cậy ở nơi không cần thiết hoặc cô lập xử lý hình ảnh trong một sandbox tạm thời, và — biện pháp có thể khái quát hóa vượt ra ngoài các thư viện hình ảnh — giới hạn những dịch vụ mà một cơ chế đăng nhập một lần tin cậy và yêu cầu kiểm tra danh tính mới trước các hành động nhạy cảm thay vì tin vào phiên hiện có.

Điểm cuối cùng đó là phát hiện có thể chuyển giao. Diễn đàn không phải là lỗ hổng; nó là cửa ngõ. Một dịch vụ công khai, có độ tin cậy thấp hơn nhưng chia sẻ nhà cung cấp danh tính với công cụ nội bộ đồng nghĩa với việc phá vỡ thuộc tính yếu nhất trong hệ thống lại trao quyền mạnh nhất. Không có gì trong tường thuật của Hacktron cho thấy OpenAI đã bất cẩn với chính diễn đàn — theo đánh giá của chính nhóm, Discourse "thực sự không phải là một mục tiêu dễ dàng" — và đó chính xác là lý do trường hợp này đang được trích dẫn: ranh giới tin cậy, không phải lỗi, mới là thứ đã thất bại.