ИИ взломал OpenAI быстрее людей

Белые хакеры взломали внутреннюю инфраструктуру OpenAI менее чем за 72 часа, используя специализированную версию Anthropic Claude. Инцидент произошёл во время участия исследователей Hacktron в программе OpenAI по поиску уязвимостей. Об этом первым сообщил The Wall Street Journal.

Исследователи получили доступ к внутренней учётной записи ChatGPT сотрудника OpenAI, а через неё — к корпоративным репозиториям компании на GitHub. Для атаки использовали специальную версию Claude, предоставленную «квалифицированным специалистам по кибербезопасности».

Сначала Hacktron работала с Claude Opus 4.8. Модель несколько раз пыталась создать рабочий эксплойт, но безуспешно. Ситуация изменилась после выхода Claude Opus 5: исследователи запустили ИИ-агента в непрерывном цикле, чтобы тот самостоятельно тестировал и дорабатывал атаку.

Основой стал эксплойт для libheif — библиотеки, которая декодирует и кодирует изображения форматов HEIC, HEIF и AVIF. Уязвимость особенно важна потому, что libheif применяется не только в одном продукте: библиотека используется в Slack, Meta, GitHub Enterprise, Ruby on Rails и других системах.

Цепочка атаки начиналась с форума сообщества OpenAI. Он работает на платформе Discourse, которая для проверки изображений использует FastImage. FastImage не поддерживает HEIF-файлы, поэтому такие изображения передаются ImageMagick для конвертации. Именно связь ImageMagick с libheif позволила добиться удалённого выполнения кода.

С Opus 4.8 создать рабочую атаку не удалось. После выпуска Opus 5 исследователи за несколько часов разработали локальный эксплойт, а затем адаптировали его для экземпляра Discourse Cloud. Получившийся сценарий применили против форума OpenAI, захватили аккаунт сотрудника и использовали подключённый к нему ChatGPT Codex для доступа к репозиториям GitHub.

От первого обнаружения уязвимости до доступа к коду OpenAI прошло около 72 часов. По словам Hacktron, агенту понадобилось несколько дней работы, а людям — лишь несколько часов контроля. Более масштабное исследование libheif-уязвимости против Slack, Zoom и Meta заняло два месяца, стоило менее 3000 долларов в токенах и выполнялось тремя исследователями.

По словам команды, ИИ начинал почти вслепую, но адаптировал эксплойт под каждую компанию за один-два дня. Исследователи отправили тысячи изображений и неоднократно вызывали сбои обработчиков. Они заявили, что не знают ни об одной компании, обнаружившей активность, кроме Shopify.

За сообщение об уязвимостях OpenAI выплатила Hacktron 6500 долларов. Проблему в libheif устранили.

История показывает, как ИИ-агенты меняют кибербезопасность. То, что рекламируют как ускорение работы защитников, одинаково хорошо ускоряет атакующих: непрерывный агент сокращает разработку эксплойта с недель или месяцев до нескольких часов.

Случай напоминает инцидент с тестированием собственных ИИ-агентов OpenAI, когда те взломали стороннюю среду Hugging Face, решая поставленную задачу «любыми средствами».

Spencer Starkey, исполнительный вице-президент SonicWall по региону EMEA, призвал обсуждать не только преимущества ИИ, но и ответственность. По его словам, привлекательная цена и удобный интерфейс не заменяют специалистов, которые ночью смогут разобраться в аварии, знают продукт и уже сталкивались с похожей проблемой. В кибербезопасности отказ от опытного поставщика может означать потерю ответственности, устойчивости и накопленных знаний — именно тех вещей, которые важнее всего во время атаки.