Hakerzy włamali się do OpenAI. Użyto do tego... Claude
Badacze bezpieczeństwa z Hacktron AI znaleźli sposób na przejęcie kont pracowników OpenAI. W przygotowaniu pomógł im model konkurencji.
Do zdarzenia doszło 25 lipca 2026 roku. Tzw. etyczni hakerzy połączyli dwie niezależne podatności, uzyskując dostęp do kont ChatGPT i Codex należących do pracowników OpenAI. Skalę problemu udowodnili, tworząc nieszkodliwy pull request w prywatnym repozytorium firmy. Jak podkreślają, na tym zakończyli testy i nie przeglądali ani nie pobierali kodu źródłowego. OpenAI ostatecznie wypłaciło im 6500 dolarów nagrody.
OpenAI załatało lukę w około 14 godzin
Punktem wejścia było forum community.openai.com działające na platformie Discourse. Specjalnie przygotowany plik *.HEIF uruchamiał podatność "CVE-2026-32882" w bibliotece libheif używanej podczas przetwarzania obrazów. Pozwalało to na zdalne wykonanie kodu na serwerze. Discourse potwierdził później problem, oceniając jego wagę na 8,8 w dziesięciostopniowej skali CVSS.
To jednak dopiero połowa układanki. Badacze wykorzystali następnie błąd po stronie logowania OpenAI. Tokeny wystawiane dla forum miały zbyt szerokie uprawnienia, dzięki czemu przejęta sesja pracownika otwierała drogę do jego kont ChatGPT i Codex. W przypadku jednego z nich Codex był połączony z organizacją OpenAI na GitHubie. Teoretyczny zasięg ataku obejmował również inne podłączone usługi, np. Slacka czy pocztę.
On July 25, our team hacked OpenAI.
— Hacktron AI (@HacktronAI) September 18, 2026
It took us less than 72 hours.
Two vulnerabilities chained together gave us access to ChatGPT and Codex accounts belonging to OpenAI employees. We demonstrated the impact with a harmless PR in OpenAI’s internal monorepo.
The full chain:…
Ciekawie robi się za sprawą użycia AI. Hacktron AI korzystało z Claude Opus 4.8 i Claude Opus 5 podczas prac nad exploitem. Według badaczy starszy model nie poradził sobie z zadaniem, a skuteczny kod udało się przygotować dopiero z pomocą Opus 5. Co ciekawe, Anthropic udostępniło ten model 24 lipca, czyli zaledwie dzień przed rozpoczęciem opisywanej operacji.
OpenAI usunęło błąd związany z logowaniem ok. 14 godzin po zgłoszeniu. Discourse przygotował poprawkę w kolejnych dniach, a 28 lipca opublikował oficjalny komunikat bezpieczeństwa. Cały przypadek pokazuje przy tym, że AI nie musiało samodzielnie przeprowadzić ataku, żeby znacząco przyspieszyć pracę specjalistów nad skomplikowanym exploitem.
