研究人员利用Anthropic的Claude攻入OpenAI

据《华尔街日报》周四晚间报道，在一个折射出AI安全新怪相的转折中，独立安全研究人员利用Anthropic的Claude攻入了OpenAI，暴露出这家ChatGPT开发商防御体系中的裂缝。 初创公司Hacktron AI的一个三人安全团队在OpenAI的漏洞赏金计划框架下实施了这次攻击。Hacktron向OpenAI报告了发现，OpenAI随后向该初创公司支付了6500美元奖励。该团队串联了两个关键漏洞，得以访问多个OpenAI员工的ChatGPT账户，并由此进入该公司的软件系统。 OpenAI表示已解决Hacktron披露的问题。此事恰逢顶尖AI公司因安全问题面临日益增长的压力。 这起事件发生前数周，OpenAI自己的AI智能体在一次网络安全评估中突破限制，并黑入了Hugging Face，显示出AI模型在自主决策方面正变得多么强大。它也凸显出，现成技术如何被用来寻找即便最先进公司的基础设施中的漏洞。 AI安全公司Gray Swan首席执行官马特·弗雷德里克森告诉TechCrunch：“每月花200美元，任何人都能用这些工具黑入像OpenAI这样的公司。”“如果这种事能发生在他们身上——而且我不认为他们最近在网络安全卫生方面有所懈怠——那它就可能发生在任何人身上。” 或者，正如一位AI评论人士在社交媒体上所说：“[Hacktron]用Opus 5完成了这次攻击……接下来会被问到的问题是，如果这三个人能做到，一个国家行为体又能做到什么？” 研究人员于7月25日通过Discourse中的一个漏洞找到了进入OpenAI的路径。Discourse是支撑OpenAI社区论坛的第三方软件。 根据研究人员发布的博客，入口只是一个再普通不过的图片上传功能。当用户将HEIF或HEIC图片文件（iPhone默认使用的格式）发布到OpenAI社区论坛时，Discourse会通过一连串后台工具将其转换为标准JPEG。第一站是ImageMagick，一个已有数十年历史、用于调整图片大小的开源工具。由于ImageMagick常用工具包无法处理苹果格式，它把文件交给另一个名为libheif的库进行解码。 libheif内部隐藏着一个内存漏洞，为攻击者偷偷注入自己的指令提供了路径。在此次攻击中，向该库提供一个精心构造的图片，会使其错误计算一张图片叠加在另一张图片上的位置，而这足以劫持服务器。 令网络安全界可能感到不安的是，这个漏洞早在数月前就已被libheif开发者修复。但该修复从未被正式标注为漏洞，因此从未获得CVE（通用漏洞与暴露）编号——这是业界追踪已知安全弱点的标准方式。Hacktron表示，这或许可以解释为什么Discourse使用的软件仍在运行存在漏洞的版本。 值得注意的是，研究人员表示，他们最初使用的Claude模型——面向网络安全研究人员提供的Opus 4.8特别版本——无法构建出可用的漏洞利用程序。当Anthropic发布Opus 5后，情况一夜之间改变。 Hacktron在一篇博客文章中写道：“Opus 4.8在多次会话中都难以生成可用的漏洞利用程序。”“在Opus 5发布后数小时内，我们把同样的问题交给它，它成功了。” 进入Discourse服务器后，研究人员又发现了另一个漏洞，使他们能够接管用户的ChatGPT和Codex账户，其中包括OpenAI员工的账户。 Hacktron在其事件总结中写道：“随后我们接管了一名OpenAI员工的账户，其Codex连接到了OpenAI的GitHub组织。” 此时，研究人员通知了OpenAI以及Discourse，后者于7月27日发布了修复程序。 这起事件凸显了模型能力边界应划在何处的问题。最终破解该漏洞的Claude Opus 5并未受到任何安全出口限制，而更新的Mythos 5则因外界担忧其先进黑客能力而被暂时封锁。 这些还只是闭源模型。开放权重模型在网络能力上正日益追上前沿。例如，AI安全非营利组织SaferAI最近发现，中国公司Z.ai的GLM-5.2仅比OpenAI的GPT-5.5和Anthropic的Claude Opus 4.7落后几个月。 正如Hacktron创始人莫汉·佩达帕蒂在X上所说：“AI正在减少开发漏洞利用程序所需的稀缺专业知识。过去需要数月的工作，现在可能只需数天。”