Группа исследователей из компании Hacktron обнаружила критическую цепочку уязвимостей, которая позволила им получить доступ к внутренним репозиториям кода OpenAI. Весь процесс, от первоначального поиска проблемы до компрометации системы, занял менее 72 часов. За обнаружение уязвимости на стороне OpenAI исследователи Харш Джайसवाल, Мохан Педхапати и Рахул Майни получили вознаграждение в размере 6500 долларов.
Детали исследования уязвимости в Discourse
Работа началась 23 июля с анализа конвейера загрузки изображений в платформе Discourse, которая используется для работы форума community.openai.com. Выяснилось, что при обработке HEIC и HEIF файлов система использовала команду ImageMagick, так как библиотека FastImage не поддерживала формат HEIF. Это приводило к передаче файлов напрямую в парсер libheif.
Исследователи использовали сессию Claude Opus 4.8 для анализа Docker-образа Discourse. Нейросеть выявила неисправленные уязвимости в пакете libheif, включая переполнение буфера кучи, которое могло привести к чтению и записи за пределами выделенной памяти. Хотя данная ошибка была исправлена в основном коде годом ранее, разработчики не идентифицировали ее как угрозу безопасности и не присвоили CVE. Docker-образ Discourse на базе Debian 12 содержал уязвимую версию libheif 1.19.7.
Роль нейросетей в создании эксплойта
На этапе разработки эксплойта исследователи задействовали разные версии модели Claude. Claude Opus 4.8 помогла создать рабочий эксплойт для исполнения кода, однако при попытке применить его к стандартной конфигурации Discourse с активной функцией ASLR возникли сложности. После выпуска Claude Opus 5 24 июля команда начала новую сессию. Модель успешно адаптировала код для архитектуры x86-64 и конфигурации jemalloc, используемой в Discourse.
К утру 25 июля исследователи подтвердили возможность удаленного исполнения кода через загрузку изображения. Затем они перевели Claude в автономный режим работы с собственной инстанцией Discourse Cloud. Для обхода ограничений безопасности модели, запрещающих написание эксплойтов для удаленных целей, исследователи представили сервер как задачу формата capture-the-flag. К 10 утра агент добился исполнения кода, продемонстрировав доступ к чтению системного файла /etc/hosts.
Компрометация инфраструктуры OpenAI
Используя полученный скрипт, команда Hacktron осуществила удаленное исполнение кода на форуме OpenAI. Ситуация осложнилась из-за отдельной ошибки в системе единого входа (SSO) OpenAI. Уязвимость позволяла преобразовать доступ к стороннему сервису, использующему аутентификацию OpenAI, в полный доступ к аккаунтам пользователей ChatGPT и Codex. Исследователи подтвердили, что могли перехватывать учетные записи без взаимодействия с активными участниками форума.
В ходе тестирования они получили доступ к учетной записи сотрудника OpenAI, чей Codex был привязан к организации компании на GitHub. Чтобы доказать возможность работы с внутренним репозиторием, исследователи создали тестовый запрос на включение кода (pull request) №1186742 в основной репозиторий OpenAI, после чего прекратили дальнейшие испытания.
Реакция компаний и исправление ошибок
Исследователи отправили отчет через платформу Bugcrowd 25 июля. OpenAI подтвердила устранение уязвимости на своей стороне в 22:49 UTC того же дня. Компания ограничила права доступа для токенов входа в сообщество и аннулировала скомпрометированные сессии. Отдельный отчет об уязвимости в Discourse был передан через HackerOne, в результате чего разработчики платформы выпустили патчи 28 июля. Уязвимости присвоили идентификатор CVE-2026-32882 с оценкой 8.8 по шкале CVSS. Официальные релизы Discourse 2026.7.0, 2026.6.1, 2026.5.2 и 2026.1.6 получили дополнительные механизмы защиты и песочницу для обработки изображений.
Проект Hacktron под названием HEIF Heist включал проверку других сервисов, включая Slack, Meta и GitHub Enterprise. По словам команды, проект занял два месяца и потребовал менее 3000 долларов на оплату токенов нейросетей, при этом адаптация эксплойтов для других компаний занимала один-два дня. Исследователи подчеркнули, что процесс не был полностью автономным и требовал квалифицированного человеческого руководства на ключевых этапах разработки.
Технические подробности и хронология исследования
Важным аспектом уязвимости в libheif было то, что в Docker-образе Discourse использовалась версия 1.19.7, при этом даже более новая Debian 13 на тот момент поставлялась с версией 1.19.8, которая также содержала критический баг. Использование Claude Opus 4.8 позволило не только оперативно проанализировать установленный пакет, но и выявить отсутствие бэкпортов исправлений безопасности, которые к тому времени уже существовали в основном репозитории проекта, но не получили статуса официальных CVE. Это позволило исследователям выстроить вектор атаки на heap buffer overflow, обеспечивающий возможности чтения и записи вне границ выделенной памяти.
Процесс создания эксплойта продемонстрировал прогресс в возможностях моделей ИИ в течение всего лишь одних суток. Если попытки Opus 4.8 создать надежный эксплойт против стандартной конфигурации Discourse с активной технологией ASLR (адресной рандомизации пространства) не увенчались успехом, то релиз Claude Opus 5 24 июля кардинально изменил ситуацию. Обновленная модель смогла создать рабочий эксплойт под архитектуру ARM64 для локальной среды macOS всего за три часа, после чего исследователи запросили адаптацию под окружение x86-64 и специфическую конфигурацию jemalloc, используемую в Discourse.
При использовании Claude в автономном цикле «цель» исследователи применяли ресурс rce.ee/ctf-forum, чтобы обойти этические ограничения ИИ: нейросеть отказывалась писать код, нацеленный на удаленные системы, но охотно работала над задачей в формате CTF-соревнования (capture-the-flag). В результате агент успешно выполнил удаленное исполнение кода (RCE) на их собственном экземпляре Discourse Cloud, подтвердив это чтением системного файла /etc/hosts.
Масштаб проекта «HEIF Heist»
Успешная атака на OpenAI не была единичным случаем, а стала частью комплексного проекта HEIF Heist, который длился два месяца. В рамках этой работы Харш Джайसवाल, Мохан Педхапати и Рахул Майни исследовали безопасность libheif в архитектурах таких крупных игроков, как Meta, Slack, GitHub Enterprise, а также в популярных фреймворках Ruby on Rails, Next.js, Astro и Gatsby. Стоимость всего исследования составила менее 3000 долларов в затратах на токены ИИ-моделей.
Согласно оценкам команды, адаптация эксплойта для каждой новой цели занимала от одного до двух дней, а непосредственная разработка для связки OpenAI/Discourse потребовала всего несколько дней работы агентов при минимальных затратах чистого человеческого времени. Несмотря на высокую эффективность, исследователи подчеркнули, что процесс не является полностью автономным: «квалифицированное человеческое руководство» остается критически важным компонентом для направления модели в процессе разработки эксплойтов и прохождения сложных этапов тестирования.
Реакция OpenAI и тонкости Bug Bounty
Коммуникация с OpenAI проходила в сжатые сроки. После того как исследователи подтвердили цепочку, ведущую к сотруднику с доступом к GitHub, они отправили первичный отчет через Bugcrowd (между 08:00 и 10:00 UTC 25 июля). К 13:30–15:30 того же дня команда добавила данные о доступе к аккаунту сотрудника и доказательство в виде pull request. В это же время они начали прямое общение с представителями OpenAI через платформу X, что ускорило реакцию компании.
Важной деталью остается финансовый аспект вознаграждения. OpenAI официально выплатила Hacktron 6500 долларов, однако компания сделала принципиальную оговорку: данная выплата касается исключительно «найденной уязвимости на стороне OpenAI», в то время как действия, предпринятые исследователями против хостируемого сервиса community.openai.com, были признаны находящимися за рамками программы Bug Bounty. Впрочем, это не помешало OpenAI поблагодарить исследователей за ответственное раскрытие информации и оперативную помощь в защите инфраструктуры.
