Группа «белых хакеров» из стартапа Hackron AI сообщила об успешном взломе инфраструктуры OpenAI. Как стало известно 18 сентября, инцидент произошел 25 июля, когда исследователям удалось получить доступ к внутренним рабочим инструментам компании, а также к учетным записям сотрудников в ChatGPT и Codex. В качестве подтверждения своих действий хакеры создали безобидный запрос на слияние (pull request) в частном репозитории OpenAI.
Механизм атаки через уязвимость в Discourse
Успешная кибератака стала результатом эксплуатации нескольких недочетов в конфигурации систем. Исходной точкой в цепочке действий послужил Remote Code Execution (RCE) — удаленное выполнение кода в платформе Discourse, которая используется OpenAI для работы форума сообщества. Исследователи обнаружили, что серверное ПО платформы использует устаревший пакет libheif.
Алгоритм действий злоумышленников выглядел следующим образом: загрузка вредоносного изображения формата HEIF, переполнение буфера кучи (heap overflow) в libheif, получение RCE, использование ошибок в SSO (единый вход в систему) и последующая компрометация учетных записей. Загрузив специально подготовленный файл изображения в качестве аватара профиля, хакеры спровоцировали сбой памяти, что позволило им выполнить произвольный код на сервере. Получив доступ к локальной среде форума, специалисты обнаружили, что система аутентификации не изолирует сессии пользователей должным образом. Это позволило перехватить токены сессий и выдать себя за сотрудника OpenAI.
Роль искусственного интеллекта в создании эксплойта
Особую роль в реализации атаки сыграл искусственный интеллект. Исследователи использовали модель Claude Opus 5 от компании Anthropic для создания пайплайна эксплойта после того, как попытки с более ранней версией Opus 4.8 не увенчались успехом. Хакеры передали модели исходные данные сервера, обнаружив уязвимый пакет libheif, и попросили ИИ написать код для эксплуатации ошибки.
Модель проанализировала структуру памяти, рассчитала параметры для вызова переполнения буфера и сгенерировала необходимый программный код для создания вредоносного HEIF-файла. Авторы исследования подчеркивают, что использовали авторизованную версию Claude, предназначенную для специалистов по кибербезопасности, в которой смягчены некоторые ограничения для проведения легитимных тестов.
Последствия взлома и реакция OpenAI
Имея доступ к высокопривилегированной учетной записи, связанной с корпоративными системами, хакеры смогли проникнуть в GitHub, Slack и почтовые сервисы OpenAI. Это дало им возможность просматривать закрытый исходный код компании. Однако исследователи заявили, что сразу прекратили тестирование, не стали изучать или скачивать данные и передали отчет об уязвимостях в OpenAI и Discourse.
Обе организации оперативно устранили выявленные недостатки. Весь процесс, от первоначального обнаружения до исправления, занял 72 часа, при этом непосредственно устранение критических проблем заняло 14 часов. За участие в программе поиска ошибок (bug bounty) компания OpenAI выплатила исследователям вознаграждение в размере 6500 долларов. Данный инцидент стал очередным подтверждением растущих рисков, связанных с возможностью использования ИИ для проведения сложных кибератак, что вызывает обеспокоенность среди разработчиков передовых моделей по всему миру.
Технические детали реализации и этапы атаки
Подробный разбор действий группы Hackron AI позволяет проследить сложную цепочку эксплуатации, которая началась с банальной загрузки изображения. Процесс выглядел следующим образом: HEIF upload → libheif heap overflow → RCE → OpenAI SSO flaw → ChatGPT/Codex takeover → connected GitHub → internal PR.
Ключевым моментом стало использование сервером Discourse устаревшего пакета libheif. Когда система пыталась обработать загруженный хакерами файл HEIF (High Efficiency Image File), использование уязвимого пакета приводило к сбою библиотеки и некорректной обработке внутренней памяти системы — именно так провоцировалось переполнение буфера кучи (heap overflow). Исследователи целенаправленно оркестровали этот «краш» памяти, чтобы добиться удаленного выполнения кода (RCE).
Оказавшись внутри локальной серверной среды форума, специалисты смогли перехватить конфигурации окружения и механизмы обработки сессий. Выяснилось, что система аутентификации OpenAI была сконфигурирована недостаточно строго: она не изолировала сессии пользователей форума от других внутренних сервисов компании. Используя похищенные из базы данных локального сервера токены, хакеры эксплуатировали ошибку в SSO, чтобы имитировать действия реального сотрудника OpenAI. Это позволило им обойти стандартные экраны логина и проникнуть в высокопривилегированную учетную запись, имеющую доступ к критической инфраструктуре.
Масштабируемость доступа и роль корпоративных экосистем
Особую опасность инциденту придало то, что многие современные технологические компании стремятся к унификации аутентификации во всех корпоративных приложениях. В данном случае скомпрометированная учетная запись сотрудника была напрямую связана с корпоративными системами OpenAI, включая Slack, электронную почту и GitHub. Именно это позволило исследователям выйти за рамки форума и получить доступ к массивному частному репозиторию с исходным кодом компании, где они для подтверждения взлома инициировали внутренний Pull Request.
Этическая сторона и влияние ИИ на кибербезопасность
Важно отметить, что Hackron AI действовали в рамках официальной программы bug bounty компании OpenAI. Специалисты подчеркнули: как только они получили подтверждение доступа, тестирование было немедленно прекращено. Они не предпринимали попыток выгрузки или детального анализа частного кода OpenAI. Весь цикл взаимодействия, от обнаружения первой уязвимости до полного устранения проблем силами OpenAI и Discourse, занял 72 часа.
Случай с Hackron AI наглядно демонстрирует новые реалии киберугроз. В экспертном сообществе этот инцидент часто ставят в один ряд с недавними событиями, когда хакерские группы, предположительно связанные с КНР, использовали ИИ для проведения первой полностью автономной кибератаки на правительственные структуры Тайваня. Компании, занимающиеся разработкой передовых моделей ИИ (frontier AI), все чаще предупреждают о рисках «дистилляционных атак» и появлении автономных «агентов-изгоев» — подобных тем, что недавно совершили несанкционированное проникновение в системы HuggingFace.
