Cercetători în securitate au demonstrat, folosind Claude, cum pot ajunge la codul intern al OpenAI

Experimentul a fost realizat în cadrul programului oficial de recompense pentru identificarea vulnerabilităților al OpenAI, iar compania le-a acordat cercetătorilor o recompensă de 6.500 de dolari.

Cercetarea a fost realizată de echipa Hacktron AI și a pornit de la o vulnerabilitate descoperită în sistemul de procesare a imaginilor al forumului comunității OpenAI. Cercetătorii au folosit Claude Opus 4.8 și, ulterior, Claude Opus 5, într-o versiune destinată special cercetătorilor în securitate cibernetică.

De la o imagine la accesul la server

Lanțul de vulnerabilități a început pe forumul public al OpenAI, care utilizează platforma Discourse. Cercetătorii au descoperit o problemă asociată procesării unor imagini în format HEIF/HEIC.

Pe scurt, un fișier imagine special conceput putea exploata o vulnerabilitate dintr-o bibliotecă software folosită pentru procesarea acestor fișiere. Vulnerabilitatea putea permite executarea de cod pe serverul care procesa imaginea, o problemă cunoscută în securitate sub denumirea de remote code execution (RCE).

În acest punct a intervenit Claude. Potrivit cercetătorilor, Opus 4.8 a reușit să contribuie la construirea unui exploit într-un mediu în care anumite protecții erau dezactivate, dar nu a reușit să producă o soluție fiabilă pentru configurația reală.

După lansarea lui Claude Opus 5, pe 24 iulie, cercetătorii au reluat experimentul. Ei afirmă că noul model a generat în aproximativ trei ore un exploit funcțional într-un mediu local și a contribuit apoi la adaptarea acestuia pentru configurația utilizată de Discourse.

Vulnerabilitatea a depășit forumul OpenAI

După obținerea accesului la infrastructura forumului, cercetătorii au descoperit o a doua problemă, de această dată în sistemul de autentificare al OpenAI.

Problema permitea, în anumite condiții, obținerea unor tokenuri de autentificare asociate utilizatorilor care se conectaseră la forum. Aceste tokenuri puteau fi folosite pentru accesarea unor servicii OpenAI, inclusiv ChatGPT și Codex.

Unul dintre conturile afectate aparținea unui angajat OpenAI. Cercetătorii au constatat că acel cont era conectat la organizația GitHub internă a companiei.

În acest fel, lanțul de vulnerabilități a trecut de la un serviciu extern, folosit pentru forumul comunității, către sisteme interne de dezvoltare software.

Cercetătorii au demonstrat accesul fără să copieze codul

Pentru a demonstra că au ajuns într-adevăr la repository-ul intern, cercetătorii au folosit contul angajatului pentru a crea o cerere în monorepo-ul privat al OpenAI.

Un „monorepo” este un repository Git de mari dimensiuni în care sunt păstrate codul și componentele mai multor proiecte software ale unei companii. În cazul de față, cercetătorii au folosit cererea ca dovadă a accesului și afirmă că s-au oprit înainte de a analiza sau copia informații sensibile.

Ei au demonstrat astfel că lanțul de vulnerabilități le putea permite să ajungă la infrastructura internă de dezvoltare a companiei.

OpenAI a remediat vulnerabilitățile

Cercetătorii au raportat vulnerabilitățile prin programul de bug bounty al OpenAI, iar compania a remediat problemele identificate.

OpenAI a transmis că a identificat două probleme distincte: una în serviciul extern Discourse utilizat pentru forumul comunității și una în propriul sistem de autentificare. Compania a restrâns permisiunile tokenurilor de autentificare și a revocat tokenurile și sesiunile afectate. Pentru cercetarea lor, Hacktron AI a primit o recompensă de 6.500 de dolari.

Experimentul s-a desfășurat în mai puțin de 72 de ore de la descoperirea inițială până la demonstrarea accesului la repository-ul OpenAI, potrivit cercetătorilor. Aceștia susțin că munca efectivă a oamenilor a însumat doar câteva ore, în timp ce o parte importantă a activității tehnice a fost realizată cu ajutorul modelelor AI.

AI-ul devine un instrument tot mai puternic pentru securitate

Cazul evidențiază o problemă tot mai importantă pentru industria AI. Aceleași modele care pot fi folosite pentru identificarea și remedierea vulnerabilităților pot accelera și dezvoltarea unor atacuri informatice.

Anthropic afirmă că Opus 5 nu a fost antrenat în mod special pentru sarcini de securitate cibernetică, dar că performanțele sale în acest domeniu au crescut odată cu îmbunătățirea capacităților generale ale modelului. Compania menține însă restricții suplimentare pentru anumite activități cibernetice și oferă cercetătorilor autorizați acces la o versiune cu mai puține limitări, prin programul său Cyber Verification Program.

Cercetătorii subliniază însă că experimentul nu a fost un atac clandestin asupra OpenAI. Vulnerabilitățile au fost descoperite în cadrul unui program oficial de securitate, iar problemele au fost raportate companiei pentru a putea fi remediate.