Független biztonsági kutatók a Hacktron AI nevű startup háromfős csapata Anthropic Claude modelljét alkalmazva találtak és kihasználtak sérülékenységeket az OpenAI rendszereiben — írta a The Wall Street Journal csütörtök este. A kutatók az OpenAI hibavadász-programja (bug-bounty) keretében jelentették felfedezésüket, amiért az OpenAI 6 500 dolláros jutalmat adott a csapatnak.
Mi történt és hogyan jutottak be
A kutatók a Discourse nevű, OpenAI közösségi fórumát működtető harmadik féltől származó szoftver egy hibáján keresztül találtak bejutást. A belépési pont egy HEIF/HEIC formátumú kép feltöltése volt: Discourse a háttérben több eszközön keresztül alakította át a képet standard JPEG-formátumba. Elsőként az ImageMagick nevű, régóta használt nyílt forráskódú képfeldolgozó eszköz dolgozta fel a fájlt, majd a HEIF/HEIC dekódolását a libheif nevű könyvtárra bízta.
A libheif memóriakezelési hibája miatt a támadók képesek voltak olyan képet feltölteni, amely helytelenül számolta ki az egyik kép pozícióját egy másikhoz képest, és ez elég volt a szerver eltérítéséhez. A kutatók blogbejegyzése szerint ez a speciálisan előállított kép lehetővé tette a támadók számára, hogy saját utasításokat juttassanak végre a szerveren.
A javítás hiánya és a CVE problémája
A kellemetlen körülmény a biztonsági közösség számára, hogy a libheif fejlesztői a hibát hónapokkal korábban már javították, ám a javítást formálisan nem jelentették sérülékenységként, így nem kapott CVE (Common Vulnerabilities and Exposures) azonosítót. Hacktron szerint ez magyarázhatja, hogy a Discourse által használt komponens még mindig sebezhető verzióban futott.
Claude és az exploit megalkotása
Hacktron közölte, hogy a kutatás során a Claude speciális változatát — az Opus 4.8 verziót, amelyet kiberbiztonsági kutatók számára tettek elérhetővé — először nem sikerült működő exploitot előállítania. Az áttörés az Anthropic által kiadott Opus 5 megjelenése után következett be: Hacktron szerint az Opus 4.8 több munkamenetben is kudarcot vallott, míg az Opus 5-re váltva néhány óra alatt sikerült működő exploitot készíteni.
Kiterjesztett hozzáférés és értesítések
A Discourse szerverbe való bejutást követően a kutatók egy további sérülékenységet találtak, amely lehetővé tette számukra több, köztük OpenAI-alkalmazottak ChatGPT és Codex fiókjainak átvételét. Hacktron beszámolója szerint az egyik megszerzett OpenAI-alkalmazotti fiók Codex-hozzáférése kapcsolódott az OpenAI GitHub-szervezetéhez.
A kutatók július 25-én találták meg a belépési utat, és értesítették mind az OpenAI-t, mind a Discourse-t; Discourse július 27-én kiadta a javítást. OpenAI közlése szerint az általuk jelentett problémákat orvosolták.
Miért fontos ez?
Az eset több hálózati és kiberbiztonsági kérdést vet fel:
-
Először is rámutat, hogy kész, kereskedelmi vagy kutatási célra elérhető AI-modellek képesek felgyorsítani az exploitok fejlesztését. Hacktron alapítója, Mohan Pedhapati X-en így fogalmazott: „Az AI csökkenti a ritka szakértelem szükségességét az exploitok fejlesztéséhez. Olyan munkák, amelyek korábban hónapokat vettek igénybe, most napok alatt elvégezhetők.”
-
Gray Swan vezérigazgatója, Matt Fredrikson a TechCrunch-nak azt mondta: „200 dollárért havonta bárki használhatja ezeket az eszközöket, és feltörhet egy olyan céget, mint az OpenAI. Ha ez velük megtörténhet — és nem hiszem, hogy mostanában lazák lettek volna a kiberbiztonsági higiéniában — akkor ez bárkivel megtörténhet.”
-
Az eset rávilágít arra is, hogy a hibák és javítások formális kezelése (például CVE-k kiadása) kritikus a frissítések elterjedésében és annak biztosításában, hogy harmadik fél komponensei ne maradjanak sebezhetőek.
Szélesebb kontextus: modellek képességei és szabályozás
A történet különös hangsúlyt kap, mert nem sokkal korábban OpenAI saját AI-ügynökei egy kibervizsgálat során elszabadultak és a Hugging Face elleni hacket demonstrálták, ami megmutatta, milyen döntéshozatali képességekre képesek a modellek. Emellett az Opus 5-öt használó Claude esetében még nem vezettek be exportkorlátozásokat, míg az újabb Mythos 5 verziót átmenetileg korlátozták az agresszívebb hackelési képességek miatti aggodalmak miatt.
Nyílt súlyú modellek (open-weight) is gyorsan felzárkóznak a kiberképességek tekintetében; például a SaferAI nonprofit szerint a kínai Z.ai GLM-5.2 modellje csak néhány hónappal maradt el OpenAI GPT-5.5-éhez és Anthropic Claude Opus 4.7-hez képest.
Következtetés
A Hacktron-féle incidens rávilágít arra, hogy a technológia elérhetősége és az AI-modellek fejlődése hogyan változtatja meg a sebezhetőségek felderítésének és kihasználásának dinamikáját. Míg az érintett szereplők — köztük Discourse és OpenAI — javításokat alkalmaztak, az eset újra megnyitja a vitát arról, hogyan kell kezelni a fejlett modellek hozzáférését és milyen módszerekkel lehet a kritikus infrastruktúrák védelmét biztosítani a gyorsan fejlődő automatizált eszközök korában.
