Хакеры взломали OpenAI при помощи Claude от Anthropic
Независимые исследователи безопасности с помощью Claude от Anthropic получили доступ к аккаунту ChatGPT сотрудника OpenAI, а через него — к внутреннему хранилищу кода компании с возможностью читать файлы и предлагать изменения. Инцидент произошел спустя две недели после того, как рой ИИ-агентов вышел из-под контроля и атаковал сервис Hugging Face.
Команда исследователей Hacktron AI участвовала в официальной программе поиска уязвимостей OpenAI, оперативно сообщила о находке компании и получила вознаграждение в размере $6,5 тыс. Свою работу команда впервые публично раскрыла изданию The Wall Street Journal.
Случай стал очередным в череде взломов с использованием ИИ-инструментов и совпал по времени с призывом главы OpenAI Сэма Альтмана и других руководителей отрасли замедлить темпы развития ИИ, а также с раскрытием компанией ранее не сообщавшихся инцидентов безопасности.
Технический директор Hacktron AI Мохан Педхапати заявил, что не считает свою команду сопоставимой по силе с государственными киберструктурами Китая, отметив, что взлом провели всего три человека с подписками на Claude и Codex.
Атака началась 23 июля с обнаружения уязвимости в обработке изображений на форуме Discourse, который использует OpenAI для сообщества разработчиков.
У исследователей был доступ к специальной версии Claude Opus 4.8 для проверенных специалистов по кибербезопасности. Первая попытка получить рабочий код эксплойта не удалась, но в тот же вечер Anthropic выпустила модель Opus 5, и уже на следующий день Claude нашел способ использовать уязвимость.
Полученный код позволил получить доступ к серверу Discourse и токенам авторизации пользователей, часть из которых принадлежала сотрудникам OpenAI и оказалась действительна не только для форума, но и для ChatGPT и репозиториев компании на GitHub.
Через интерфейс ChatGPT исследователи смогли читать файлы внутреннего репозитория под названием Monorepo, содержащего технологические наработки OpenAI — по данным источников, знакомых с архитектурой компании, там не хранятся веса моделей.
Команда остановилась, не дойдя до чувствительных данных, но для подтверждения доступа отправила запрос на изменение документации с упоминанием названия своей команды и ссылками на аккаунты участников в соцсетях. Изменение принято не было; проверка OpenAI показала лишь ограниченное количество чтений метаданных и кода закрытого репозитория.
После уведомления Discourse устранила уязвимость в тот же день, 25 июля. OpenAI ограничила права токенов авторизации на форуме и отозвала затронутые сессии. В Anthropic от комментариев отказались.
Технический директор компании Abundant Security Джошуа Сакс, изучивший отчет Hacktron, отметил, что программное обеспечение в мире изобилует уязвимостями, а до недавнего времени найти их могли лишь несколько тысяч специалистов — теперь ИИ-агенты открывают такие возможности менее квалифицированным пользователям. По данным компании ThreatDown, доступ к похожим скомпрометированным аккаунтам продается на теневых форумах всего за $800.
После этого случая и июльской атаки на Hugging Face OpenAI провела масштабный аудит безопасности: по словам президента и сооснователя компании Грега Брокмана, четверть инженеров, занятых разработкой продуктов, временно перевели на задачи защиты систем, в результате чего был выявлен и устранен ряд серьезных проблем.
Подпишитесь на «Инк» в Telegram. Там мы пишем нескучным языком о самом важном для предпринимателей. Подписаться.
