Claude против OpenAI: как за $6500 взломали создателя ChatGPT

Сюжет, идеально описывающий нынешнее состояние безопасности в мире ИИ: независимые исследователи взломали OpenAI при помощи Claude — модели её главного конкурента Anthropic. Об этом со ссылкой на The Wall Street Journal сообщил TechCrunch.

Атаку провела команда из трёх человек стартапа Hacktron AI в рамках bug-bounty-программы OpenAI. Исследователи связали в цепочку две критические уязвимости, получили доступ к учётным записям ChatGPT нескольких сотрудников компании и через них проникли в её системы. За находку OpenAI выплатила стартапу 6500 долларов и, по её словам, уже устранила все обнаруженные проблемы.

Путь через загрузку картинки

Точкой входа 25 июля стала уязвимость в Discourse — стороннем движке, на котором работает форум сообщества OpenAI. Когда пользователь загружал изображение в формате HEIF/HEIC (тот, что iPhone использует по умолчанию), Discourse прогонял файл через цепочку конвертации в обычный JPEG. Сначала за дело брался ImageMagick, но, не умея работать с форматом Apple, передавал файл библиотеке libheif. В ней и скрывалась ошибка работы с памятью: специально сформированное изображение заставляло библиотеку неверно рассчитать наложение картинок, чего оказалось достаточно, чтобы захватить сервер.

Неприятная деталь для отрасли: эта ошибка была исправлена разработчиками libheif ещё несколькими месяцами ранее, но правку так и не оформили как уязвимость — ей не присвоили номер CVE. Именно поэтому, полагают в Hacktron, Discourse продолжал использовать уязвимую версию. Уже внутри сервера исследователи нашли вторую брешь, позволившую перехватывать учётные записи ChatGPT и Codex, в том числе принадлежащие сотрудникам OpenAI. Одна из них была подключена к GitHub-организации компании.

Роль сменившейся модели

Любопытно, что специальная версия Claude Opus 4.8 для исследователей безопасности несколько сессий не могла собрать рабочий эксплойт. Всё изменилось за одну ночь: в течение нескольких часов после выхода Opus 5 та же задача была решена.

Инцидент обостряет разговор о том, где проводить границу возможностей моделей. Opus 5, в итоге взломавший систему, не подпадает под экспортные ограничения — в отличие от более новой Mythos 5, которую временно заблокировали из-за продвинутых хакерских способностей.

Вывод, который делают эксперты, тревожен. «За 200 долларов в месяц любой может использовать эти инструменты и взломать компанию вроде OpenAI. Если такое случилось с ними, это может случиться с кем угодно», — заметил глава Gray Swan Мэтт Фредриксон. А основатель Hacktron сформулировал суть так: ИИ снижает объём редкой экспертизы, необходимой для создания эксплойтов, — работа, прежде занимавшая месяцы, теперь укладывается в дни.

Источник: TechCrunch