ИИ помог захватить аккаунты сотрудников OpenAI через цепочку уязвимостей

Трое специалистов компании Hacktron, называющей себя фирмой по ИИ-ассистированному поиску уязвимостей, продемонстрировали, как связка из двух дефектов позволяет захватить рабочие аккаунты сотрудников OpenAI и получить доступ к внутреннему репозиторию кода. Это была именно исследовательская работа: команда сообщила о находках, подтвердила доступ безобидным pull-request'ом и остановилась. От первого взгляда до внутреннего доступа прошло менее 72 часов.

OpenAI закрыла брешь примерно через 14 часов после отчёта и 1 сентября выплатила исследователям вознаграждение в 6500 долларов — оговорив, что премия отмечает именно уязвимость на стороне OpenAI, а не действия против Discourse, программы форума, которая под баг-баунти не подпадала.

Как форум открыл дверь к рабочим аккаунтам

Отправная точка — уязвимость в обработке изображений. Форум работает на Discourse, который передаёт загруженные HEIC- и HEIF-файлы в ImageMagick, а тот читает их через библиотеку libheif. Дефект CVE-2026-32882 позволяет специально сформированным изображением повредить память сервера. В базах уязвимостей он числится как чтение за границей буфера — способный уронить процесс или раскрыть соседнюю память, но не как прямое выполнение кода. Утечка памяти помогла обойти защиту ASLR, и, по словам исследователей, комбинация ошибок libheif дала работающее выполнение кода на сервере форума.

Заплатка вышла в libheif 1.22.0 ещё в мае 2026 года. Но образ сервера форума, собранный на Debian 12, в июле по-прежнему поставлял старую версию 1.19.7: исправление и CVE были публичны, а в пакет дистрибутива ещё не попали.

Дальше сработала не программа форума, а система входа. Форум предлагал вход через «Sign in with OpenAI» — тот же единый вход (SSO), которым сотрудники пользуются повсюду. Захватив сервер форума, исследователи через общий SSO перехватили ChatGPT- и Codex-аккаунты его участников из числа сотрудников OpenAI; жертвам не требовалось ничего делать. Hacktron подчёркивает: это проблема идентификации OpenAI, а не форума.

Роль искусственного интеллекта

Самую сложную часть выполнил ИИ. Claude Opus 4.8 несколько сессий не мог построить рабочий эксплойт при включённой ASLR. Вечером 24 июля Anthropic выпустила Claude Opus 5 — и в новой сессии модель собрала рабочий эксплойт за считанные часы. Встроенные ограничения, мешающие писать код атак против реальных целей, исследователи обошли, выдав собственный тестовый сервер за учебную CTF-мишень. При этом, отмечают они, процесс не был полностью автоматическим: квалифицированное человеческое руководство по-прежнему играло ключевую роль.

OpenAI была лишь одной целью в более широком проекте HEIF Heist: за два месяца команда находила однотипные дефекты декодирования изображений в чужом ПО, потратив на ИИ менее 3000 долларов. Признаков реальной эксплуатации бреши OpenAI нет.

Выводы шире одного форума: старые сборки libheif опасны везде, где принимают HEIC-, HEIF- и AVIF-файлы, а общий SSO между публичным сервисом и внутренними инструментами превращает взлом первого во взлом второго. Рекомендуется обновить libheif, отключить декодирование недоверенных изображений либо изолировать обработку в песочнице и требовать свежую проверку личности перед чувствительными действиями.

Источник: The Hacker News