Eine Hackergruppe namens HacktronAI gab bekannt, das Forum von OpenAI gehackt, Mitarbeiterkonten übernommen und einen Pull Request an OpenAIs interne Codebasis gesendet zu haben, wofür sie einen Bonus von 6.500 US-Dollar erhielten. Das Team entdeckte eine Schwachstelle in Discourse, die sie anschließend nutzte, um OpenAIs Infrastruktur zu infiltrieren. Sie wurden für ihre Bemühungen belohnt. Der Bericht über den Vorfall mit dem Titel „Hacking OpenAI“ ist online kursiert und scheint einem Modell der verantwortungsvollen Offenlegung zu folgen.
Hier ist der Ablauf.
Die Schwachstellenkette
Am 25. Juli 2026 nutzte HacktronAI’s Team zwei Schwachstellen, um in OpenAIs Systeme einzudringen. Sie begannen mit administrativen Zugriffsrechten auf die Discourse-Umgebung unter community.openai.com, auf der OpenAIs Hilfe-Forum läuft. Von dort aus gelangten sie zu OpenAI-Mitarbeiterkonten, erhielten Zugriff auf interne Repositories und eröffneten einen Pull Request in OpenAIs internem Monorepo.
Das Zeitfenster war knapp. Das erste Signal kam zwischen 05:00 und 06:00 UTC. Nach der Bestätigung der querproduktiven Auswirkungen reichte das Team einen Bericht über OpenAIs Bug Bounty Program auf Bugcrowd zwischen 08:00 und 10:00 UTC ein. Zwischen 13:30 und 15:30 UTC hatten sie einen harmlosen Proof-of-Concept-Pull Request in OpenAIs internem Monorepo erstellt, die Bugcrowd-Einreichung korrigiert und ihn auf Twitter/X gepostet, um Freunde bei OpenAI zu erreichen. Alle zusätzlichen Tests wurden gegen 15:30 UTC eingestellt.
Was das Team fand
Der Kernfehler war eine Remote-Code-Execution- (RCE) Schwachstelle in Discurses Image-Upload-Pipeline. Discourse verwendet normalerweise FastImage für Bildprüfungen, aber da FastImage HEIF-Dateien nicht unterstützt, werden diese Dateien an den Magick-Befehl von ImageMagick zur Konvertierung weitergeleitet. Dies machte den zugrunde liegenden libheif-Parser direkt für attacker-kontrollierte Dateien zugänglich.
Die Opus 4.8-Sitzung wurde von HacktronAI unter Verwendung des Discourse Docker-Images gestartet und das installierte libheif-Paket auf Sicherheitslücken untersucht. Es fehlten eine Reihe spezifischer Sicherheitskorrekturen in dem Paket, da diese nicht zurückgeportiert worden waren. Dieses Versäumnis führte zu einem Heap-Buffer-Overflow, der während der HEIC-Dekodierung zu Lese- und Schreibmöglichkeiten außerhalb des zugewiesenen Speicherbereichs führte.
Der anfällige Code wurde im Vorjahr oberhalb geändert, aber die Änderung wurde nicht als Sicherheitslösung dokumentiert und erhielt keine CVE. Da Discurses Docker-Image auf Debian 12 basierte, wurde die anfällige libheif-Version 1.19.7 installiert. Selbst Debian 13 liefert noch die anfällige Version 1.1.
Das Patch-Train
Das Problem wurde innerhalb von etwa 14 Stunden nach dem ersten Bericht behoben. Discourse antwortete am Sonntag, hatte eine Lösung bis Montag vorbereitet und implementierte Image-Processing-Sandboxing als zusätzliche Schutzschicht. Das Unternehmen veröffentlichte dann GHSA-vhm9-85gw-x335 mit Anleitungen zum Anwenden des Patches und Neukompilieren.
Das HacktronAI-Team informierte zuerst OpenAI und Discourse über die Schwachstelle und arbeitete dann mit beiden Unternehmen zusammen, um einen Patch zu koordinieren. Das Team bedankte sich bei OpenAI und Discourse für ihre sorgfältige Aufmerksamkeit und die rasche Lösung. OpenAI zahlte außerdem den Bounty von 6.500 $.
Wie die Offenlegung ablief
Das Team arbeitete sorgfältig und bedacht. Sie meldeten sich bei Bugcrowd, reichten bei Discourse über das HackerOne-Programm ein und hielten alle Parteien währenddessen auf dem Laufenden. Sie erstellten einen harmlosen Proof-of-Concept-Pull-Request, um den praktischen Effekt zu demonstrieren, ohne auf sensible Daten zuzugreifen.
Ein Mitarbeiterkonto von Codex wurde verwendet, um den Pull-Request zu öffnen. Das Team hatte die Möglichkeit, damit noch viel mehr zu tun – sie hätten sich über die kompromittierten Konten mit GitHub, Slack und E-Mails verbinden können. Stattdessen wählten sie, den Zugriff zu zeigen und dann zu stoppen.
Warum das wichtig ist
Eine riesige Menge an Material lag in Reichweite. Da Einzelpersonen zahlreiche Systeme mit Codex und ChatGPT verbinden können, umfasste die Exposition GitHub, Slack und E-Mails. Anstatt diese Möglichkeiten auszunutzen, wählte das Team einen anderen Weg. Ihr Zweck war lediglich, zu zeigen, dass ein solcher Zugriff möglich ist, nicht ihn zu nutzen.
Die Ereignisabfolge verlief schnell. Von der ersten Feststellung des Fehlers bis zum Erhalt des Zugriffs auf den OpenAI-Code entfaltete sich der gesamte Prozess in weniger als 72 Stunden. Das Tempo zeigt, wie ernst die Schwäche von denjenigen, die daran arbeiteten, behandelt wurde.
Der HEIF-Raub
HacktronAI’s Forschung beschränkte sich nicht auf OpenAI. Die Gruppe hat die Untersuchung inzwischen auf HEIF Heist ausgeweitet, ein mehrmonatiges Projekt, das libheif über Slack, Meta, GitHub Enterprise, Ruby on Rails und Node.js-Frameworks wie Next.js, Astro und Gatsby verfolgt. Eine überraschende Menge an weit verbreiteter Software ist auf diese eine Bildverarbeitungsbibliothek angewiesen.
Das HacktronAI-Team hat eine Warnung für Anwendungen herausgegeben, die Benutzerbilder verarbeiten und .heic/.heif/.avif-Dateien akzeptieren, und erklärt, dass diese wahrscheinlich von dem Problem betroffen sind. Wer Hilfe benötigt, wird gebeten, sich unter hello@hacktron.ai zu melden.
Die Patch-Hinweise
Selbst gehostete Discourse-Benutzer sollten schnell handeln und ihre Installationen neu aufbauen. Einige ältere Docker-Images enthalten eine anfällige libheif-Abhängigkeit, die nach dem Hochladen eines Bildes eine Codeausführung ermöglicht. Die Behebung umfasst das Ausführen von git pull dann ./launcher rebuild app von /var/discourse. Ein einfaches Web-Interface-Update reicht nicht aus, um das zugrunde liegende Bild zu ändern. Discourse-gehostete Kunden haben den Patch bereits erhalten.
OpenAI verwendet Discourse für sein Forum und ermöglicht „Anmelden mit OpenAI“ über auth.openai.com. Die Kompromittierung des Forums schafft einen Weg in umfassendere OpenAI-Dienste über diesen Identitätsablauf.
Die wichtigsten Erkenntnisse
Das Team identifizierte eine Schwachstelle, meldete sie, arbeitete mit beiden Anbietern zusammen, um eine Behebung zu koordinieren, und erhielt eine Belohnung für ihre Bemühungen. Sie demonstrierten den Nachweis des Zugriffs, ohne ihn tatsächlich auszunutzen, und stellten ihre Tests ein, sobald sie genügend Beweise gesammelt hatten.
Dass die Schwachstellenkette zwei separate Plattformen betraf – Discourse und OpenAIs eigene Systeme – zeigt, wie eng moderne Software-Stacks nun miteinander verbunden sind. Ein einzelner Bibliotheksfehler kann sich über viele Anwendungen ausbreiten.
Das Fehlen eines CVE für die ursprüngliche Behebung fällt auf. Es weist auf ein systemisches Problem bei der Dokumentation und Verfolgung von Patches hin, ein Problem, das das Team in seinem Hinweis auf Debian 12 und 13 anspricht, die keine sicherheitsrelevanten Backports rechtzeitig erhalten haben, was auch OpenAIs Fehler beinhaltet.
Beide Anbieter wurden von dem Team über das Problem informiert, das dann mit ihnen den gesamten Prozess durcharbeitete. Der Bounty von 6.500 US-Dollar dient als Belohnung für eine solche verantwortungsvolle Berichterstattung.
Dieser Bericht dient als Erinnerung daran, dass Sicherheitsforscher auf Vertrauen in ihre Arbeit angewiesen sind. Sie entdecken Schwachstellen, machen sie bekannt und geben häufig auf den Zugriff auf die Systeme, die sie aufgedeckt haben, verzicht. Diese spezielle Gruppe folgte diesem Vorgehen und wurde dafür entschädigt.
Faktenbox – Datum: 25. Juli 2026 – Schwachstellenkette: Discourse RCE → OpenAI-Mitarbeiterkonten → Zugriff auf das interne OpenAI-Repository – Zeitrahmen: <72 Stunden von der Entdeckung bis zum Zugriff auf das OpenAI-Repository – Bugcrowd-Einreichung: 08:00–10:00 Uhr UTC (25. Juli) – Behebung auf OpenAI-Seite bestätigt: 22:49:45 Uhr UTC – Bounty: 6.500 US-Dollar von OpenAI – Advisory: GHSA-vhm9-85gw-x335 veröffentlicht von Discourse
Die Gruppe wird von Harsh Jaiswal geleitet, wobei auch Mohan Pedhapati und Rahul Maini Teil davon sind.
Die betroffenen Software sind eine Bibliothek, die dazu dient, Bilddateien zu verarbeiten, und zwei bestimmte Versionen davon erwiesen sich als anfällig. Die ältere Version ist 1.19.7, die in Debian 12 verwendet wird, während die neuere Version 1.1 in Debian 13 zu finden ist. Beide Versionen weisen dieselbe Schwachstelle auf. Die betroffenen Plattformen reichen von Forum-Software über Chat-Apps bis hin zu Code-Hosting-Diensten, darunter Discourse, Slack, Meta, GitHub Enterprise, Ruby on Rails, Node.js (Next.js, Astro, Gatsby).
Selbst gehostete Benutzer müssen zwei Befehle ausführen, um ihr System zu aktualisieren. Zuerst wird git pull ausgeführt. Dann wird von dem Verzeichnis /var/discourse aus ./launcher rebuild app ausgeführt.
Alle Parteien profitierten davon. Das Unternehmen hinter der KI erhielt eine Korrektur, die Wissenschaftler hinter ihr wurden entschädigt, und Menschen im Internet erfuhren von einem gemeinsamen Problem in einem weit verbreiteten Softwarepaket. Dies ist genau das, was ein sorgfältiger Ansatz zur Offenlegung von Schwachstellen erreichen soll.
Quellenmaterial: „Hacking OpenAI“, hacktron.ai.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.