OpenAI内部员工的ChatGPT账户遭到入侵，而协助完成这一行动的“功臣”，竟是其竞争对手Anthropic旗下的Claude。这听起来颇具讽刺意味，但事实确实如此。

近日，网络安全研究公司Hacktron AI在X平台上披露，早在两个月前的7月25日，他们就成功侵入了OpenAI的部分内部代码库，并获取了多名OpenAI员工ChatGPT和Codex账号的访问权限。

从发现漏洞到完成验证，整个过程耗时不到72小时。最终，他们通过OpenAI在Bugcrowd上的漏洞赏金计划，获得了6500美元的奖金。

消息传出后，迅速引起了外界关注。毕竟，OpenAI作为AI竞赛中的顶尖玩家，却被研究人员借助另一家AI巨头的模型，一路深入其内部开发环境。

那么，他们究竟是如何做到的？

两个漏洞，串联成一条通往OpenAI的路径

事实上，几个月前，Hacktron AI团队的三名研究员Harsh Jaiswal、Mohan Pedhapati和Rahul Maini便开始针对前沿AI公司进行安全漏洞研究。

在一次测试中，他们意外发现了两个看似无关的漏洞：

一个出现在OpenAI的身份基础设施中，是一处SSO配置问题；

另一个则隐藏在OpenAI社区论坛使用的第三方组件libheif中，存在可被利用的远程代码执行漏洞。

单看这两个漏洞，很难将二者与OpenAI内部系统联系起来。但研究人员很快意识到，如果将它们串联起来，就可能形成一条从社区论坛直通OpenAI内部的攻击链。

他们随后利用这条链路攻破了多名OpenAI员工的ChatGPT账户，并进一步发现，其中一名员工的Codex账号还连接着OpenAI的GitHub组织。

这意味着，研究人员获得的已不再是一个普通的ChatGPT账户，而是有机会进一步触达OpenAI的内部开发环境。

入口并非OpenAI主站，而是社区论坛

回顾整个事件过程，值得注意的是，这条攻击链的起点是OpenAI的社区论坛，而非OpenAI主站。

据研究人员披露，OpenAI的社区论坛采用开源网络论坛软件Discourse搭建，并支持通过auth.openai.com使用“Sign in with OpenAI”登录。也就是说，论坛并非一个完全孤立的站点，它与OpenAI的身份认证体系存在关联。

正如上文所述，Hacktron AI的研究人员此前已发现OpenAI的身份基础设施存在一个SSO配置问题，因此他们产生了一个假设：

如果能够先拿下这个社区论坛，就有可能沿着身份认证链路进一步进入OpenAI的其他服务。

问题是，如何在这个论坛服务器上获得远程代码执行（RCE）能力？

Discourse本身并非一个容易攻破的目标，Hacktron团队此前也曾对此进行过研究。于是，他们将目光转向了Discourse所依赖的第三方软件。

7月23日，Hacktron AI研究人员开始检查Discourse的图片上传和处理流程，注意到HEIC、HEIF格式的图片（iPhone等设备较常使用，类似JPG）走了一条与普通图片不同的处理路径。

正常情况下，Discourse会使用FastImage这一图片处理组件检查用户上传的图片。但FastImage当时不支持HEIF，于是这类图片会被交给另一个图片处理工具ImageMagick中的magick命令进行转换。转换过程中，ImageMagick又会调用libheif解析HEIF图片。

这意味着，攻击者上传的HEIF文件，最终会直接进入底层的libheif图片解析器。

Opus 4.8找Bug时卡住，Opus 5接手

研究进行到这一步，研究人员接下来开始检测libheif图片解析器是否存在安全问题。

当然，在AI时代，他们并非完全依靠人工完成这项工作。在这一过程中，他们采用Claude Opus 4.8，对Discourse的Docker镜像进行了分析，并让模型检查其中安装的libheif软件包是否存在安全问题。

经过一段时间的分析后，Claude找到了一个关键问题：部分已在上游修复的安全补丁，并未及时回移植到当时使用的libheif软件包中。

这个问题存在于HEIC图片解码过程中，可造成堆缓冲区溢出，并进一步形成越界读写能力，为代码执行创造条件。更麻烦的是，相关漏洞代码在前一年已被上游项目修改，但当时的提交未明确标记为安全修复，也未获得CVE编号。

Hacktron研究人员认为，Debian稳定版之所以还存在这个漏洞，可能是因为上游已修复，但Debian未及时将这份修复补丁“搬回”自己正在使用的旧版本中。

当时Discourse使用的Docker镜像基于Debian 12，安装的是存在问题的libheif 1.19.7。即使是Debian 13，在当时也仍使用存在漏洞的1.19.8版本。

找到漏洞后，研究人员继续让Claude Opus 4.8尝试利用ImageMagick/libheif中的漏洞，看能否进一步让程序执行攻击者指定的代码。

7月24日，在关闭ASLR（地址空间布局随机化）的情况下，Claude已能帮助研究人员构建出可工作的代码执行Exploit。

但真正的问题在于，Discourse的默认环境开启了ASLR。研究人员随后启动了多个独立的Claude会话，尝试让模型进一步调整Exploit，使其能在默认配置下稳定工作。

这一次并未取得理想结果。

转折出现在当晚。彼时Anthropic恰巧发布了Claude Opus 5，研究人员采用这个新模型重新开启了一轮测试。

据Hacktron AI介绍，**新模型首先在不到3小时内，为本地Mac环境生成了一套可正常工作的ARM64漏洞利用程序。**随后，研究人员又要求Claude将这套Exploit移植到Discourse实际运行的x86-64环境，并适配其使用的jemalloc内存分配器配置。

到7月25日凌晨6点左右，他们已确认，可通过上传图片的方式在本地实现远程代码执行（RCE）。

接下来，研究人员将Claude放入一个自动化循环中，让它持续针对自己搭建的Discourse Cloud实例进行测试。为使目标环境更接近CTF靶场，他们还通过rce.ee/ctf-forum对测试环境进行了代理。

这里还有一个细节值得注意。Hacktron研究人员此前曾尝试让Claude Opus 4.8直接针对远程实例编写Exploit，但模型拒绝了这一请求。因此，研究人员先让模型在自己的环境中完成漏洞利用，再逐步将其迁移到与真实目标相近的配置中。

上午10点左右，研究人员再次检查时，Claude已成功在Discourse Cloud上实现RCE，并通过读取/etc/hosts文件证明了执行权限。

有了这套已验证的Exploit，研究人员随后将其用于OpenAI的Discourse实例，并最终获得了远程代码执行权限。

从论坛RCE到OpenAI员工账号

拿到论坛服务器的执行权限后，研究人员进一步验证了此前关于OpenAI单点登录（SSO）的猜测。

他们发现，论坛上的活跃用户可在特定条件下被进一步关联到ChatGPT和Codex账号。这意味着，最初看似只是一个图片上传漏洞的安全问题，实际上还可能成为进入OpenAI其他服务的入口。

研究人员随后确认，他们能够接管一名OpenAI员工的账号，而该员工的Codex又连接到了OpenAI的GitHub组织。

为证明这一权限确实能触达OpenAI的内部开发环境，同时避免直接读取内部代码，研究人员采取了一个相对克制的验证方式：他们通过这名员工的Codex账号发出指令，让Codex在OpenAI的内部Monorepo中创建一个Pull Request（PR）。

这个PR本身并非为了修改或窃取代码，而是作为“已获得内部仓库操作权限”的证明。完成这一验证后，研究人员立即停止了进一步测试。

OpenAI约14小时后完成修复，并支付了6500美元赏金

随后，他们将这部分影响证明补充到提交给OpenAI的BugCrowd漏洞报告中，并再次通知OpenAI安全团队。

据研究团队披露，OpenAI在收到报告约14小时后完成了自身一侧问题的修复。到9月1日，OpenAI向Hacktron支付了6500美元漏洞赏金。

OpenAI通过Hacktron分享的一份声明进一步解释了这笔赏金的范围：

“需要明确的是，这笔奖励对应的范围是有限的：针对由Discourse托管的community.openai.com进行的测试，明确不属于我们的漏洞赏金计划范围。这笔奖励认可的是研究人员在OpenAI一侧发现的问题，而不是针对Discourse所采取的行动。”

与此同时，Hacktron研究人员也将Discourse本身的漏洞单独报告给了其HackerOne项目。

据研究人员介绍，Discourse在周六收到报告后，周日进行了回复，并在周一完成修复。同时，Discourse也开始对ImageMagick的图片处理过程增加沙箱隔离，以降低类似漏洞被利用后进一步影响服务器的风险。

Hacktron特别强调，这条攻击链中真正值得关注的并非Discourse本身，而是OpenAI的SSO配置。

在他们看来，Discourse只是一个用于验证这一问题的入口。如果其他采用OpenAI SSO的第一方或第三方服务存在类似的可利用漏洞，那么理论上也可能形成类似的访问链路。换句话说，论坛只是这次研究中找到的一个突破口，真正将论坛权限进一步延伸到ChatGPT和Codex的，是OpenAI的身份认证机制。

当用AI去找漏洞时...

消息披露后，X平台上很快出现了大量讨论。

有网友表示：“72小时完成一整条RCE攻击链，太疯狂了。”

也有人将注意力放在了6500美元的赏金上：“他们最后就只给了你6500美元，虽然这个发现相当不错，但这个奖励实在有点寒酸。不过话说回来，研究做得很棒！”

还有网友认为，这样的漏洞影响显然不止6500美元：“说实话，我替这些研究人员感到可惜。和他们本来可能拿到的奖励相比，这几乎只是零花钱，因为这个漏洞的敏感程度远不止于此。”

还有一位网友分享了自己过去使用AI Agent的经历。

他表示，“他们的东西太糙了。4o还是主力模型那会儿，我在网页聊天里说服我的Agent访问它的沙箱Jupiter。它写了个脚本留在服务端，保持VM会话活着，然后开始浏览并解释沙箱内外的一切，连IP都给了我。我甚至拿到了环境里每个文件的ls输出，还有VM硬盘。它一点点全交出来了。”

毫无疑问，这起事件也再次暴露出AI驱动网络攻击正在带来的新变化。

这一次，AI Agent不只是帮研究人员分析漏洞，而是参与了从漏洞发现、Exploit构建，到整条攻击链验证的多个环节，整个过程不到72小时。

对此，研究人员也警示道：“过去需要一个资源充足的团队花费数月才能完成的工作，如今可能被压缩到几天之内。**安全领域原有的假设，也必须跟上攻击者能力的变化。**如今，更现实的威胁模型应该考虑漏洞利用的经济成本已发生什么变化，而不能再依赖那些过时的假设，认为只有特定的人群才有能力实施复杂攻击。”

参考：

https://www.theregister.com/security/2026/09/18/researchers-used-claude-to-hack-openai-employees-chatgpt-accounts/5297517

https://www.tomshardware.com/tech-industry/cyber-security/hackers-breach-openai-using-claude-tools-gaining-access-to-employee-accounts-and-the-companys-internal-codebase-initiating-a-harmless-pull-request-as-proof-of-the-hack

本文来自微信公众号“CSDN”，整理：屠敏，36氪经授权发布。