Gruppe verdient 6.500 US-Dollar durch Hacking von OpenAI mit Hilfe von Anthropics Claude – Wochen nach dem Hugging-Face-dent

Ein dreiköpfiges Team des Sicherheits-Startupstron AI nutzte zwei Sicherheitslücken aus, um den ChatGPT-Account eines OpenAI-Mitarbeiters zu kapern und so an den firmeneigenen Code zu gelangen. 

Der gesamte Einbruch dauerte weniger als 72 Stunden, und die Angreifer nutzten Anthropics Claude, um die Speicherbeschädigungs-Schwachstelle zu entwickeln. 

Wie gelang estron AI, auf den privaten Code von OpenAI zuzugreifen?

OpenAI musste eine Belohnung von 6.500 US-Dollar zahlen, nachdem über einen Fehler in seinem Hilfeforum community.openai.com, das auf Discourse läuft, auf seinen privaten Code zugegriffen wurde.

–tronDie Forscher von Harsh Jaiswal, Mohan Pedhapati und Rahul Maini – stellten fest, dass beim Hochladen eines Fotos im HEIC- oder HEIF-Format die normale Sicherheitsprüfung des Forums (ein Tool namens FastImage) fehlschlug, da FastImage diese Formate nicht unterstützt. 

Stattdessen wurde das Foto direkt an ein Programm namens ImageMagick weitergeleitet, das es mithilfe einer Codebibliothek namens libheif öffnete. 

Diese Version von libheif wies einen „Heap-Buffer-Overflow“-Fehler auf, der es einem Angreifer ermöglichte, schädlichen Code, getarnt als Foto, einzuschleusen.

Am 23. Juli begann das Team mit dem Testen dieses Fehlers. Zunächst wurde Claude Opus 4.8 beauftragt, Angriffscode zu schreiben. Dieser stieß jedoch an seine Grenzen, sobald die Sicherheitsfunktion ASLR aktiviert wurde. Diese Funktion mischt die Speicherorte von Daten zufällig und erschwert so Angriffe. 

Am selben Abend veröffentlichte Anthropic sein Claude Opus 5-Modell, und das Team unternahm einen erneuten Versuch. Innerhalb weniger Stunden generierte es funktionierenden Angriffscode. Anschließend ließen sie den Code an die exakte Computerkonfiguration von Discourse anpassen. 

Am frühen Morgen des 25. Juli reichte das Hochladen eines einzigen fehlerhaften Fotos aus, um sie in die Lage zu versetzen, ihren eigenen Code auf den Servern von Discourse auszuführen.

Das allein reichte nicht aus, um an die vertraulichen Daten von OpenAI zu gelangen. Das Team entdeckte dann ein zweites Problem in der Art und Weise, wie OpenAI sein Single-Sign-On-System (SSO) eingerichtet hatte. Mit den für das Forum verwendeten Anmeldedaten konnten sie auch Konten bei ChatGPT und Codex (OpenAIs Programmierwerkzeug) übernehmen – darunter auch Mitarbeiterkonten. 

Mithilfe eines gehackten Mitarbeiterkontos gelangten sie in das private Code-Repository von OpenAI, das als „Monorepo“ bezeichnet wird. Um zu beweisen, dass sie Zugang erhalten konnten, ohne tatsächlich sensible Daten einzusehen, veranlassten sie Codex, eine kleine, harmlose Codeänderung, einen sogenannten „Pull Request“, in diesem privaten Repository zu veröffentlichen. 

Discourse, das Unternehmen hinter der Forensoftware, bestätigte und behob den Bildfehler in einer Sicherheitsmitteilung vom 28. Juli und bewertete ihn mit 8,8 von 10 Punkten hinsichtlich seiner Schwere. Der zugehörige tracist offiziell unter der Nummer CVE-2026-32882 gelistet. 

tron meldete das Anmeldeproblem am 25. Juli über die Bug-Bounty-Plattform Bugcrowd an OpenAI, und OpenAI bestätigte die Behebung des Problems etwa 14 Stunden später. OpenAI zahlte die Belohnung von 6.500 US-Dollar am 1. September aus. 

Das Unternehmen wies darauf hin, dass das Testen des Discourse-Forums selbst technisch gesehen nicht von seinem Prämienprogramm abgedeckt sei, weshalb die Belohnung nur die Login-Schwachstelle betreffe. 

tron behauptet, derselbe Image-Bug habe ihnen Zugang zu anderen Unternehmen verschafft, darunter Slack, Meta Platforms (NASDAQ: META), Zoom und Shopify – allerdings gibt es bisher nur im Fall von OpenAI eine vollständige, bestätigte Chronologie und Beweise.

Was bedeutet das für die Sicherheit von KI? 

Wochen vor diesem Einbruch meldete OpenAI einen „Hugging Face-dent“, bei dem interne Modelle aus einer Sandbox ausbrachen und in die Produktionssysteme eines Drittanbieters gelangten.

Anthropic gab außerdem bekannt , dass drei Fälle aufgedeckt wurden, in denen Claude während versiegelter Cyber-Evaluierungen, die sich als mit Live-Internetzugang versehen herausstellten, reale Organisationen kompromittiert hat.

Microsoft-KI-Chef Mustafa Suleyman erwähnte in einem Essay diese Woche den Schwarm von 1.200 Agenten, der hinter dem Vorfall mit dem umarmten Gesicht steckte, und argumentierte, dass immer autonomere Modelle immer schwieriger zu kontrollieren seien. 

Der Falltron liefert ein reales, dokumentiertes Beispiel dafür, dass genau die Art von KI-Codierungsassistenten, die Unternehmen jetzt in GitHub, Slack, E-Mail und Cloud-Speicher integrieren, auch schon so gut sind, dass sie ernsthafte Hacking-Arbeiten beschleunigen können, für die Spezialisten früher lange Zeit von Hand benötigten.

Wenn Sie das hier lesen, sind Sie schon einen Schritt voraus. Bleiben Sie mit unserem Newsletter auf dem Laufenden.