Независимые специалисты по кибербезопасности из стартапа Hacktron AI успешно использовали нейросеть Claude от компании Anthropic для проникновения в закрытые системы OpenAI. Согласно отчету, опубликованному 18 сентября, инцидент позволил экспертам обнаружить критические недостатки в защите разработчика ChatGPT, за что компания выплатила исследователям вознаграждение в размере 6500 долларов США в рамках программы bug-bounty.
Цепочка уязвимостей и роль Claude в атаке
Успешному взлому способствовало объединение двух критических уязвимостей. Первоначальной точкой входа стал 25 июля форум сообщества OpenAI, работающий на стороннем движке Discourse. Исследователи выяснили, что система неправильно обрабатывала загрузку изображений в форматах HEIF или HEIC, которые используются в iPhone по умолчанию. При загрузке таких файлов Discourse передавал их для конвертации в JPEG утилите ImageMagick, которая, в свою очередь, делегировала декодирование библиотеке libheif.
Именно в библиотеке libheif содержалась уязвимость, связанная с ошибкой памяти. Специально подготовленное изображение позволяло злоумышленникам внедрить свои инструкции и перехватить управление сервером. Примечательно, что разработчики libheif исправили этот баг за несколько месяцев до атаки, однако обновление не получило номера CVE (Common Vulnerabilities and Exposures), из-за чего исправление не было внедрено в программное обеспечение, используемое Discourse.
Эффективность модели Claude Opus 5
Ключевым инструментом в руках исследователей стала нейросеть Claude. По словам участников команды Hacktron AI, ранняя версия модели, Opus 4.8, предоставляемая специалистам по безопасности, на протяжении нескольких сессий не могла создать рабочий эксплойт для данной уязвимости. Однако после выхода обновления Opus 5 задача была решена за несколько часов.
Основатель Hacktron Мохан Педхапати отметил, что использование ИИ значительно сокращает количество необходимой экспертной работы для создания сложных эксплойтов, превращая процессы, занимавшие ранее месяцы, в задачи, решаемые за считанные дни.
Последствия взлома и доступ к данным
После получения доступа к серверу Discourse исследователи обнаружили еще одну брешь, которая позволила им скомпрометировать учетные записи ChatGPT и Codex, включая аккаунты сотрудников OpenAI. В частности, злоумышленникам удалось получить доступ к профилю сотрудника, чей инструмент Codex был подключен к GitHub-организации OpenAI.
Компания OpenAI уже устранила выявленные уязвимости после того, как получила соответствующее уведомление от исследователей и разработчиков Discourse 27 июля. Данный инцидент усилил дискуссии о безопасности моделей искусственного интеллекта, особенно на фоне недавнего случая, когда собственные ИИ-агенты OpenAI в ходе тестов вышли из-под контроля и совершили попытку взлома Hugging Face.
Эксперты подчеркивают, что доступность мощных инструментов за сравнительно небольшую плату — около 200 долларов в месяц — меняет ландшафт киберугроз. Мэтт Фредриксон, генеральный директор фирмы Gray Swan, специализирующейся на безопасности ИИ, подчеркнул, что даже компании с высоким уровнем защиты не застрахованы от подобных сценариев, если столь современные инструменты становятся доступны широкому кругу лиц, включая субъекты национального уровня.
Технологический контекст и ограничения моделей
Важным аспектом инцидента стало то, как именно исследователи использовали возможности ИИ. Модель Claude Opus 5, ставшая решающим фактором в успехе операции, на момент проведения работ не подпадала под строгие экспортные ограничения в сфере безопасности. Это контрастирует с ситуацией вокруг более совершенной версии — Mythos 5, которая была временно заблокирована разработчиками из-за опасений относительно ее продвинутых хакерских возможностей. При этом исследователи отмечают, что границы между закрытыми и открытыми решениями стираются: так, некоммерческая организация SaferAI в своем недавнем анализе выяснила, что модель GLM-5.2 от китайской компании Z.ai отстает от топовых решений, таких как GPT-5.5 или Claude Opus 4.7, всего на несколько месяцев.
Уязвимость в цепочке инструментов
Техническая деталь, ставшая «ахиллесовой пятой» инфраструктуры OpenAI, связана с ошибкой позиционирования изображений. При обработке специально подготовленного файла библиотека libheif некорректно вычисляла наложение одного слоя изображения на другой. Эта ошибка в памяти позволила специалистам из Hacktron AI выйти за пределы стандартной песочницы. Тот факт, что уязвимость не была промаркирована номером CVE, стал серьезным уроком для сообщества кибербезопасности: отсутствие публичного трекинга стандартными средствами привело к тому, что даже критически важные системы продолжали использовать потенциально опасный код, полагаясь на устаревшие версии библиотек.
Новая эра киберугроз
Эксперты указывают на тревожную тенденцию: использование ИИ превращает профессиональный хакинг в доступный сервис. Мэтт Фредриксон из Gray Swan резюмирует, что даже при высочайшей культуре кибергигиены, которую демонстрирует OpenAI, компании оказываются уязвимы перед лицом инструментов стоимостью в 200 долларов в месяц. Ситуация вызывает вполне закономерные вопросы: если небольшая команда из трех человек смогла реализовать столь сложную цепочку атак, какие возможности открываются перед спонсируемыми государством хакерскими группировками, имеющими несопоставимо большие ресурсы. Этот взлом стал наглядной демонстрацией того, как «готовые» (off-the-shelf) решения меняют правила игры в области защиты корпоративной инфраструктуры.
