Ifølge Hacktron blev et gammelt billedbibliotek porten ind til konti hos OpenAI-brugere og -medarbejdere

Hvor svært er det at bryde ind hos en af verdens største AI-virksomheder? Ifølge sikkerhedsfirmaet Hacktron AI var svaret i sommer: under tre døgn, og med hjælp fra en konkurrents AI-model. Forløbet fra første fund til en harmløs pull request i OpenAIs interne kodelager tog under 72 timer, ifølge Hacktron.

Tre forskere fra Hacktron, Harsh Jaiswal, Mohan Pedhapati og Rahul Maini, brugte ifølge Hacktrons egen beskrivelse Anthropics Claude til at udvikle exploiten mod OpenAI-systemer. Fundet blev indberettet gennem OpenAIs bug bounty-program på Bugcrowd, hvor virksomheder betaler for at få fejl indberettet. OpenAI har ifølge en kommentar delt af Hacktron oplyst, at test af det Discourse-hostede forum var udelukket fra programmet. Oplysningerne om selve angrebet stammer primært fra Hacktrons egen beskrivelse.

En fejl i en billedfil

Indgangen var OpenAIs community-forum, som kører på softwaren Discourse. Når brugere uploader billeder i formaterne HEIC eller HEIF, sender Discourse dem videre til et billedbibliotek kaldet libheif.

Her lå en hukommelsesfejl. En specielt fremstillet billedfil fik biblioteket til at regne forkert på, hvor ét billede skulle placeres oven på et andet. Det var nok til at overtage forumserveren og køre egen kode på den.

Ifølge Hacktron var fejlen allerede rettet af libheifs udviklere måneder tidligere. Rettelsen var dog ikke registreret som en sårbarhed med et officielt CVE-nummer. Hacktron mener, at det kan forklare, hvorfor Discourse stadig brugte en sårbar version.

Fra forum til brugerkonti

Med kontrol over serveren fandt forskerne endnu en fejl. Den gjorde det muligt at overtage ChatGPT- og Codex-konti, også hos OpenAI-medarbejdere. En medarbejders Codex var koblet til OpenAIs GitHub-organisation. Forskerne åbnede en harmløs pull request i OpenAIs interne kodelager, tilgik ikke følsom kode og stoppede derefter testen.

Den nye model gjorde forskellen

Hacktron fortæller, at en særlig sikkerhedsudgave af Claude Opus 4.8 i flere sessioner ikke kunne lave en fungerende udnyttelse af fejlen. Få timer efter udgivelsen af Claude Opus 5 lykkedes det med samme opgave. Hacktron skriver, at arbejde, der før krævede et velfinansieret team og måneders indsats, nu kan presses sammen til dage.

Matt Fredrikson, administrerende direktør (CEO) i AI-sikkerhedsfirmaet Gray Swan, siger: »For 200 dollar om måneden kan alle bruge disse værktøjer og hacke sig ind i et firma som OpenAI.«

Rettet og belønnet

OpenAI rettede problemet cirka 14 timer efter indberetningen og oplyser, at problemerne er løst. Hacktron fik en dusør på 6.500 dollar. OpenAI har præciseret, at den gælder fundet på OpenAIs side og ikke handlinger mod Discourse. Discourse har udsendt en sikkerhedsadvisory med vejledning til opdatering og isolering af billedbehandlingen.