A nyár folyamán a mesterséges intelligenciák biztonsági kockázatai újabb példáját szolgáltatta, hogy a Hacktron AI nevű startup kutatói Anthropic Claude modelljeit felhasználva kihasználták az OpenAI rendszereiben talált sérülékenységeket.
A The Wall Street Journal alapján a Hacktron AI szakemberei az OpenAI hibavadász (bug bounty) programjának keretében derítették fel a problémát, majd jelentették a cégnél. Az OpenAI a kutatók jelentését követően 6 500 dolláros (körülbelül 2 050 000 forintos) jutalomban részesítette a startupot.
Hogyan történt a behatolás?
A Hacktron AI kutatói július 25-én találtak rá egy útvonalra, amely közvetlenül az OpenAI rendszereinek eléréséhez vezetett. A belépési pont egy harmadik féltől származó, az OpenAI közösségi fórumait (Discourse) üzemeltető szoftver egyik képfeltöltés-funkciója volt.
Ha felhasználók HEIF vagy HEIC formátumú képeket töltöttek fel a fórumra (az Apple által használt formátumok), a Discourse háttérben futó eszközkészlet átalakította azokat JPEG-fájlokká. Az első lépésben az ImageMagick nevű, széles körben használt nyílt forráskódú segédprogram próbálta kezelni a képeket, majd átadta azokat a libheif nevű könyvtárnak a dekódoláshoz.
A libheifben azonban egy memóriakezelési hiba rejtőzött: egy gondosan módosított kép feltöltése hamis utasításokat eredményezett a dekódolóban, ami egy hibás számításhoz vezetett. Ez a hiba lehetővé tette a támadók számára, hogy kódot futtassanak a szerveren, és így átvegyék a kiszolgáló feletti irányítást. A Hacktron AI szerint a sebezhető libheif-verzió azért maradhatott használatban a Discourse-ban, mert a libheif fejlesztői bár javították a hibát hónapokkal korábban, nem jelöltek meg hozzá CVE-azonosítót, amely az iparági nyomon követés szokásos módja.
Az AI szerepe: Claude-opuszok és a gyors válasz
A kutatók elmondása szerint az Anthropic Opus 4.8-as Claude modellje, amelyet kiberbiztonsági célokra finomhangoltak, kezdetben nem tudott működő exploitot előállítani. Az Opus 5 megjelenésével azonban a helyzet megváltozott: az újabb modell rövid idő alatt képes volt olyan megoldást találni, amely segítette a kihasználást.
A Discourse-szerverre való bejutás után a kutatók további sebezhetőséget fedeztek fel, amellyel hozzáférést szereztek OpenAI alkalmazottainak ChatGPT- és Codex-fiókjaihoz. A Hacktron AI értesítette az érintett feleket — az OpenAI-t és a Discourse-t —; az OpenAI közlése szerint a javítást július 27-én alkalmazták.
Miért fontos ez?
Az eset több szempontból is releváns: egyrészt rámutat, hogy harmadik féltől származó komponensekben meglévő, látszólag apró hibákból hogyan lehet súlyos rendszerszintű kompromittálásokat előidézni. Másrészt azt is jelzi, hogy az AI-modellek frissítései jelentősen megváltoztathatják a támadási képességeket — amit az Opus 4.8 és Opus 5 közötti különbség demonstrál.
Matt Fredrikson, a Gray Swan AI biztonsági cég vezérigazgatója rámutatott: ha egy olyan cég, ahol valószínűleg komoly figyelmet fordítanak a kiberbiztonságra, mint az OpenAI, ilyen támadás áldozata lehet, akkor a hasonló veszély más szervezeteknél is fennállhat. A példa egyúttal aláhúzza a hibajegy-azonosítás (CVE) és a gyors javítás fontosságát a sebezhetőségek kezelésében.
Az eset újabb bizonyítéka annak, hogy az AI-technológiák egyaránt szolgálhatnak a biztonság javítására és a támadások fejlesztésére, ezért a fejlesztők és üzemeltetők számára folyamatos kockázatkezelés és átlátható sebezhetőség-nyilvántartás szükséges.
