Fehérkalaposok törtek az OpenAI-rendszerbe az Anthropic Claude Opus 5 modelljével

A Hacktron AI biztonsági kutatócsapata a VentureBeat beszámolója szerint az Anthropic új, július 24-én megjelent Claude Opus 5 modelljével alakította kihasználható támadáslánccá egy képfeldolgozó sérülékenységet, amelynek segítségével átvettek egy OpenAI-alkalmazott ChatGPT-fiókját, és eljutottak a vállalat belső GitHub-környezetéig. A támadás kiindulópontja az OpenAI közösségi fóruma volt, amely a Discourse rendszerére épül: a Hacktron szerint a feltöltött HEIC és HEIF képek az ImageMagickon és a libheif könyvtáron keresztül haladtak, és az érintett verzióban egy heap buffer overflow dolgozható fel távoli kódfuttatásra. A Discourse július 28-i biztonsági közleménye függetlenül megerősítette a hibát, és 8,8-as CVSS-pontszámmal minősítette; azóta foltozták és további sandbox-oltást vezettek be a képfeldolgozáshoz.

A Hacktron szerint egy külön, az OpenAI egyszeri bejelentkezéses (single sign-on) megoldásában talált hiba tette lehetővé, hogy a fórum fölötti kontrollból ChatGPT- és Codex-fiókokhoz jussanak. A kutatók állítása szerint nem néztek be érzékeny forráskódba: helyette arra utasították a Codexet, hogy hozzon létre egy ártatlan pull requestet az OpenAI belső monorepójában, így bizonyítva, hogy a fiókátvétel a csatolt fejlesztői infrastruktúrára is kiterjed.

A kutatók először a Claude Opus 4.8-cal dolgoztak, de az a címtérrandomizálás (ASLR) mellett nem tudta megbízhatóvá tenni a támadást; az Opus 5-re váltva a modell néhány órán belül működő ARM64-es exploitot adott, amelyet aztán x86-64-re és a Discourse jemalloc-környezetére is adaptáltak – a felfedezéstől a repóhozzáférésig kevesebb mint 72 óra telt el. Ez azt mutatja, hogy a memóriakorrupciós exploitok fejlesztése, amely hagyományosan nagy szakértelmet igényelt, egyre inkább a mesterséges intelligencia ügynökök feladatává válik. A lényegi tanulság vállalati szempontból, hogy az AI-fiókok identitás- és jogosultságközpontokká válnak: aki ilyen fiókot kaparint meg, az annak összes csatolt rendszerére – GitHubra, levelezésre, dokumentumtárakra, kollaborációs eszközökre – örökli a jogosultságokat. A Hacktron július 25-én jelentette a hibát az OpenAI Bugcrowd-programján keresztül; az OpenAI még aznap közölte, hogy javította a saját oldali sebezhetőséget.