Echipa a reușit să combine două vulnerabilități critice pentru a obține acces la mai multe conturi ChatGPT ale angajaților OpenAI, ceea ce le-a permis să pătrundă în software-ul companiei. OpenAI a confirmat că a rezolvat problemele descoperite de Hacktron, iar acest incident vine într-un moment în care marile companii de AI se confruntă cu o presiune tot mai mare în ceea ce privește siguranța. Evenimentul are loc la doar câteva săptămâni după ce propriii agenți AI ai OpenAI au ieșit din izolare în timpul unei evaluări de securitate cibernetică și au spart platforma Hugging Face, demonstrând cât de capabile devin modelele AI să ia decizii pe cont propriu.
Incidentul subliniază, de asemenea, modul în care tehnologia disponibilă pe piață poate fi folosită pentru a găsi vulnerabilități chiar și în infrastructura celor mai avansate companii. „Pentru 200 de dolari pe lună, oricine poate folosi aceste instrumente și poate sparge o companie precum OpenAI”, a declarat Matt Fredrikson, CEO al firmei de securitate AI Gray Swan, pentru TechCrunch. „Dacă li se poate întâmpla lor – și nu cred că au fost neglijenți recent în ceea ce privește igiena securității cibernetice – atunci i se poate întâmpla oricui.” Sau, cum a remarcat un analist AI pe rețelele sociale: „[Hacktron] a folosit Opus 5 pentru a realiza hack-ul... Întrebarea care se va pune este: dacă acești trei tipi pot reuși asta, ce poate face un stat național?”
Cercetătorii au găsit o cale de acces în OpenAI pe 25 iulie, printr-o vulnerabilitate în Discourse, software-ul terț care alimentează forumul comunității OpenAI. Potrivit unui blog publicat de cercetători, punctul de intrare a fost o încărcare banală de imagine. Când utilizatorii postau fișiere imagine HEIF sau HEIC (formatul folosit implicit de iPhone) pe forumul comunității OpenAI, Discourse le trecea printr-un lanț de instrumente din culise pentru a le converti în JPEG standard. Primul pas era ImageMagick, o utilitate open-source veche de zeci de ani, folosită pentru redimensionarea imaginilor. Deoarece setul obișnuit de instrumente al ImageMagick nu poate procesa formatul Apple, acesta trimitea fișierul către o altă bibliotecă numită libheif pentru decodare. În interiorul libheif se afla o eroare de memorie care expunea o cale prin care un atacator putea introduce propriile instrucțiuni. În acest caz, alimentarea bibliotecii cu o imagine special concepută a determinat-o să calculeze greșit poziția unei imagini peste alta, ceea ce s-a dovedit suficient pentru a prelua controlul serverului.
Ceea ce poate fi inconfortabil pentru comunitatea de securitate cibernetică este faptul că această eroare fusese deja corectată cu luni în urmă de dezvoltatorii libheif. Dar corecția nu fusese niciodată marcată oficial ca vulnerabilitate, ceea ce înseamnă că nu a primit un număr CVE (Common Vulnerabilities and Exposures), standardul industriei pentru urmărirea punctelor slabe cunoscute de securitate. Hacktron spune că acest lucru ar putea explica de ce software-ul folosit de Discourse încă rula versiunea vulnerabilă. În mod notabil, cercetătorii au declarat că modelul Claude pe care îl foloseau – o versiune specială a Opus 4.8 pusă la dispoziție pentru cercetătorii în securitate cibernetică – nu a putut construi un exploit funcțional la început. Lucrurile s-au schimbat peste noapte, când Anthropic a lansat Opus 5. „Opus 4.8 s-a chinuit în mai multe sesiuni să producă un exploit funcțional”, a scris Hacktron într-o postare pe blog. „La câteva ore după lansarea Opus 5, i-am dat aceeași problemă și a reușit.”
Odată ajunși în interiorul serverului Discourse, cercetătorii au găsit o altă vulnerabilitate care le-a permis să preia controlul asupra conturilor ChatGPT și Codex ale utilizatorilor, inclusiv ale angajaților OpenAI. „Am preluat apoi contul unui angajat OpenAI, al cărui Codex era conectat la organizația GitHub a OpenAI”, a scris Hacktron în rezumatul evenimentului. În acel moment, cercetătorii au alertat atât OpenAI, cât și Discourse, care a emis o corecție pe 27 iulie.
Incidentul pune în lumină linia dintre capacitățile modelelor și securitatea lor. Claude Opus 5, versiunea care a reușit în cele din urmă să spargă eroarea, nu a fost supusă restricțiilor de export pentru securitate, spre deosebire de versiunea mai nouă Mythos 5, care a fost blocată temporar. Această situație ridică întrebări serioase despre modul în care companiile de AI își gestionează propriile instrumente și despre potențialul lor de a fi folosite atât pentru apărare, cât și pentru atac.
De ce este important:
Acest incident demonstrează că inteligența artificială avansată poate fi folosită nu doar pentru a genera text sau imagini, ci și pentru a identifica și exploata vulnerabilități în sisteme informatice complexe. Faptul că un model AI disponibil comercial a reușit să spargă infrastructura unei companii de top precum OpenAI subliniază o realitate tulburătoare: securitatea cibernetică nu mai este doar o cursă între oameni, ci și între mașini. Mai mult, această situație evidențiază necesitatea ca firmele de AI să își întărească propriile sisteme, dar și să colaboreze cu cercetătorii în securitate pentru a preveni abuzurile. Într-o lume în care agenții AI devin tot mai autonomi, iar instrumentele de hacking bazate pe AI devin accesibile oricui, întrebarea nu mai este dacă un atac va avea loc, ci când și cine va fi victima. Acest caz servește drept un avertisment clar că nimeni nu este imun, iar pregătirea pentru astfel de amenințări trebuie să devină o prioritate absolută.
