白帽黑客借Claude攻破OpenAI系统

印度安全初创公司Hacktron AI的两名联合创始人Mohan Pedhapati和Harsh Jaiswal，借助Anthropic的Claude模型成功攻破了OpenAI一名员工的ChatGPT账户，并进一步拿到了对OpenAI私有代码仓库的写入权限，作为概念验证甚至向内部代码库提交了一个真实的pull request。该事件已被《华尔街日报》独立核实，于2026年9月披露。

整条攻击链的入口是OpenAI社区论坛community.openai.com所使用的Discourse系统：研究人员发现该论坛的HEIC/HEIF图片上传功能存在漏洞，问题出在底层libheif库的一处堆缓冲区溢出，可通过ImageMagick图片处理管道触发，Discourse方面为此漏洞给出的CVSS评分高达8.8分（满分10分），属于高危级别。

攻破论坛环境后，研究人员又利用OpenAI单点登录（SSO）实现中的另一个独立缺陷，把权限从论坛账户提升到了该员工的ChatGPT和Codex账户；由于该账户绑定了多项第三方连接器，理论上可进一步触达GitHub、Slack、Outlook、Gmail、Google Drive等下游服务，研究人员最终选择以在OpenAI内部openai/openai主代码仓库中提交一个无害pull request的方式，证明确实拿到了写入权限。

Claude在整个攻击链中承担了漏洞利用代码生成的关键角色：研究人员起初用Claude Opus 4.8尝试绕过地址空间布局随机化（ASLR）保护未能成功；换用当年7月24日刚发布的Claude Opus 5后，几小时内就生成了一个可用的ARM64架构漏洞利用代码，随后又被改写以适配x86-64架构和jemalloc内存分配环境。从发现漏洞到拿到代码仓库访问权限，整个过程耗时不到72小时。

研究团队通过OpenAI在Bugcrowd平台上的漏洞赏金计划提交了报告，提交当天（7月25日）OpenAI即确认修复；OpenAI最终向研究团队支付了6500美元赏金。OpenAI方面表示，研究人员在整个过程中"没有查看敏感信息"，公司随后完成内部安全审查并修复相关漏洞，还借此推出新的"错位行为事件"报告框架，试图让此类安全披露流程更快、更系统化。

这起事件真正的看点不是漏洞本身，而是攻击链条被大幅压缩的速度——过去绕过ASLR保护、写出可用的架构级漏洞利用代码，通常需要经验丰富的安全研究员花费数天甚至更久，这次借助更新一代模型Claude Opus 5，几个小时内就完成了旧版本模型无法完成的关键一步。受益方是能够熟练调用前沿模型辅助攻防的白帽安全团队和漏洞赏金猎人；承压的则是包括OpenAI在内所有依赖论坛、SSO、第三方连接器搭建内部协作环境的科技公司，其攻击面正被AI模型的代码生成能力系统性放大。

目前公开信息显示，本次事件涉及的Discourse漏洞和SSO缺陷均已被OpenAI修复，研究人员使用的是Anthropic当年7月发布的Claude Opus 5模型，而更早版本Claude Opus 4.8曾在同一攻击链的关键环节上未能奏效。

来源：公开信息