Drei Sicherheitsforscher verbrachten 72 Stunden damit, in die Systeme von OpenAI einzudringen, und nutzten dabei Claude, den von Anthropic entwickelten KI-Assistenten. Das Team, das unter dem Namen Hacktron arbeitet, erlangte Zugang zu OpenAIs GitHub-Repository, das nach Angaben des Journal die „algorithmischen Geheimnisse“ des Unternehmens enthält. Sie kündigten den Einbruch in einem Projekt namens HEIST an.
Der Angriff lief über eine korrupte Bilddatei und eine Schwachstelle in dem System, das HEIF-Bilder verarbeitet. Hacktron zufolge ermöglichte der Exploit Remote Code Execution, kurz RCE, auf Discourse Cloud, dem Drittanbieterdienst, der OpenAIs Community-Foren hostet.
Wie Hacktron eindrang
Die Methode von Hacktron war im Umriss einfach, in der Praxis jedoch präzise. Das Team nutzte eine korrupte Bilddatei, um einen Fehler in dem System auszulösen, das HEIF-Bilder verarbeitet. Dieser Fehler verschaffte ihm Remote Code Execution auf Discourse Cloud. Von dort aus griff es auf die Instanz von OpenAI zu.
Das Team griff tatsächlich nicht auf den Code in Monorepo zu, dem Repository, das OpenAIs algorithmische Geheimnisse enthält. Stattdessen sandte es einen Pull Request vom Codex-Konto eines Mitarbeiters, um zu beweisen, dass es Zugang erlangt hatte. Dieser Beweis war die Demonstration des Einbruchs.
Laut Hacktron wurde Claude Opus 5 am 24. Juli abends eingeführt. Bis 10 Uhr am nächsten Tag hatte das Team damit RCE auf Discourse Cloud erreicht und auf die Instanz von OpenAI zugegriffen.
Die Reichweite des HEIST-Projekts
Hacktron zufolge brauchte das HEIST-Projekt „nur ein oder zwei Tage“, um sich an verschiedene Unternehmen anzupassen. Das Team zielte auf Slack, Meta, GitHub Ent, Rails, Next.js, ImageMagick und andere und setzte dabei Token im Wert von weniger als 3.000 Dollar ein. Die Schwachstelle sei nur von einem Ziel, Shopify, entdeckt worden, sagen sie.
Die Schwachstellen, die Hacktron an Discourse und OpenAI meldete, sind inzwischen behoben. OpenAI zahlte Hacktron 6.500 Dollar für das Auffinden des Fehlers.
Was Hacktron über die Bedrohung sagt
Hacktrons CTO Mohan Pedhapati sagte dem WSJ, das Team sei nicht so stark wie chinesische Bedrohungsakteure. „Wir sind nur drei Typen mit Claude- und Codex-Abonnements“, sagte er.
Diese Bescheidenheit birgt eine Warnung. Drei Forscher fanden innerhalb von 72 Stunden einen Weg in eines der wertvollsten Technologieunternehmen der Welt. Wenn ein so kleines Team so schnell vorgehen kann, ist die Frage nicht, wer sonst denselben Weg finden könnte, sondern wie schnell sie danach handeln würden.
Die Zeitleiste des Angriffs
| Ereignis | Zeit |
|---|---|
| Claude Opus 5 wird veröffentlicht | Abend des 24. Juli |
| RCE auf Discourse Cloud erreicht | Bis 10 Uhr am 25. Juli |
| Zugriff auf OpenAIs Instanz erlangt | Innerhalb von Stunden nach RCE |
| Pull-Request vom Codex-Konto gesendet | Bestätigter Nachweis des Zugriffs |
| Sicherheitslücke geschlossen | Gemeldet von Hacktron |
Der Zeitablauf zeigt eine Kette, die innerhalb weniger Stunden von der Codeveröffentlichung zum vollständigen Zugriff führte. Die Geschwindigkeit des Teams ist die zentrale Tatsache der Geschichte.
Was das für OpenAI bedeutet
OpenAI weiß nun, dass seine Systeme auf eine Weise verwundbar sind, die es zuvor nicht kannte. Das Unternehmen hat die gemeldeten Schwachstellen behoben und Hacktron 6.500 Dollar für die Informationen gezahlt.
Der Einbruch wirft auch Fragen zu den Werkzeugen auf, die Forscher verwenden. Claude, der KI-Assistent hinter dem Angriff, wird von Anthropic entwickelt. Die Tatsache, dass er dabei half, in die Systeme von OpenAI einzudringen, deutet darauf hin, dass die Werkzeuge, auf die Forscher sich verlassen, selbst Teil der Angriffsfläche werden.
Der Angriff war kein Brute-Force-Versuch. Es war ein gezielter, vorsätzlicher Einsatz einer bekannten Schwachstelle in einem weit verbreiteten Forumsystem. Diese Kombination – eine bekannte Schwachstelle, eine große Angriffsfläche und ein Werkzeug wie Claude, das die Suche automatisieren kann – ist das Muster, das Sicherheitsteams nachts wach hält.
Die Beschreibung des Projekts als „Heist“ durch die Forscher selbst ist bezeichnend. Sie behandelten den Einbruch als Auftrag, nicht als Zufall. Sie passten ihre Methode innerhalb von Tagen an mehrere Ziele an und gaben dabei nur 3.000 Dollar für Tokens aus.
Shopify war das einzige Ziel, das die Schwachstelle entdeckte. Der Angriff zeigt, dass eine einzelne Schwachstelle auf mehreren Plattformen vorhanden sein kann und dass die Entdeckung nicht universell ist.
Die Zahlung von 6.500 Dollar bedeutet, dass OpenAI die Offenlegung als echten Beitrag behandelte, nicht als Bedrohung.
Pedhapatis Bemerkung, sie seien nicht so stark wie chinesische Bedrohungsakteure, sondern „nur drei Leute mit Claude- und Codex-Abonnements“, relativiert das Ausmaß des Problems. Wenn drei Forscher das können, wozu ist dann ein Nationalstaat fähig?
Hier ist die Abfolge der Ereignisse, geordnet nach dem Zeitpunkt ihres Eintretens:
- Claude Opus 5 wird am 24. Juli abends veröffentlicht.
- Bis 10 Uhr am nächsten Tag erzielt das Team RCE auf Discourse Cloud.
- Innerhalb von Stunden nach Erlangung der RCE greift das Team auf die Instanz von OpenAI zu.
- Von einem Codex-Konto eines Mitarbeiters wird ein Pull Request gesendet, der den Zugriffsnachweis bestätigt.
Quellenmaterial: „Security researchers used Claude to help them hack into OpenAI“, The Verge.
Das Notizbuch abonnieren.
Die besten Geschichten des Tages und jedes neue Urteil, in klarem Deutsch, um sieben im Postfach. Eine Mail am Tag, nicht mehr.