Sicherheitsforscher hacken OpenAI mit Anthropics Claude und gelangen in interne Strukturen

Drei Sicherheitsforscher nutzten Anthropics Claude-Modelle, um über OpenAIs Community-Forum in interne Systeme einzudringen. Der gesamte Angriff dauerte nach eigenen Angaben weniger als 72 Stunden und klappte erst ab Opus 5.

OpenAI bekommt seine eigene Medizin zu schmecken: Nachdem es versehentlich über Monate hinweg eine Heerschar von Agenten im Internet herumhacken ließ, wurde das Unternehmen nun selbst mit KI-Unterstützung gehackt. Das Sicherheitsteam Hacktron beschreibt, wie es zwei Schwachstellen kombinierte, um sich Zugang zu ChatGPT- und Codex-Konten von OpenAI-Mitarbeitern zu verschaffen und von dort in OpenAIs internes Code-Repository auf GitHub einzudringen.

Der Angriffspfad führte über OpenAIs Community-Forum unter community.openai.com. Jeder Nutzer oder Mitarbeiter, der sich dort über "Sign in with OpenAI" angemeldet hatte, sei potenziell betroffen gewesen. Da Nutzer Dienste wie GitHub, Slack und E-Mail mit Codex und ChatGPT verbinden können, war der theoretische Wirkungsradius erheblich. Als Beweis erstellten die Forscher über den Codex-Account eines Mitarbeiters einen harmlosen Pull-Request im internen Monorepo, ohne nach eigener Darstellung sensible Informationen einzusehen.

Veraltete Bildbibliothek und fehlerhafte Anmeldung als Einfallstor

Die erste Schwachstelle steckte in der Bildverarbeitungsbibliothek libheif, die das Forum zur Verarbeitung hochgeladener HEIC-Bilder verwendete. Ein Sicherheitsfix existierte laut Hacktron seit einem Jahr im Originalcode, war aber nie als Sicherheitsproblem gekennzeichnet worden und fehlte deshalb in den Debian-Versionen, auf denen das Forum lief. Durch eine manipulierte Bilddatei konnten die Forscher eigenen Code auf dem Server ausführen.

Die zweite Schwachstelle war eine Fehlkonfiguration in OpenAIs zentralem Anmeldesystem (SSO). Wer den Forumsserver kontrollierte, konnte sich als aktive Forumsmitglieder ausgeben und deren ChatGPT- und Codex-Konten übernehmen. Dieses Problem sei nicht auf das Forum beschränkt gewesen, schreibt Hacktron: Jeder kompromittierte Dienst mit OpenAI-Anmeldung hätte denselben Zugang ermöglicht.

Anthropics Claude schrieb den Exploit

Die Forscher setzten nach eigenen Angaben zunächst Claude Opus 4.8 ein, um die Schwachstelle zu finden. Das Modell entwickelte einen funktionierenden Exploit, allerdings nur mit deaktiviertem ASLR, einer gängigen Sicherheitsmaßnahme gegen Speicherangriffe. An einer zuverlässigen Version mit aktiviertem ASLR scheiterte es in mehreren Sitzungen.

Am Abend des 24. Juli veröffentlichte Anthropic Claude Opus 5. Das neue Modell produzierte laut Hacktron innerhalb von drei Stunden zunächst einen funktionierenden Exploit für einen lokalen Mac und portierte ihn anschließend auf die Serverumgebung von Discourse. Die Forscher setzten Claude dann in einer autonomen Schleife gegen eine eigene Testinstanz ein. Da das Modell sich weigerte, Exploits gegen echte Systeme zu schreiben, tarnten sie das Ziel als Übungsaufgabe. Vier Stunden später hatte der Agent den Server übernommen. Bei einer verwandten Aufgabe beobachteten die Forscher einen weiteren Leistungssprung zu OpenAIs eigenem GPT-5.6 Sol.

OpenAI bestätigte den Fix rund 14 Stunden nach der Meldung. Auch Discourse, die Software hinter dem Forum, reagierte zügig.

KI senkt die Kosten für Angriffe drastisch

Die Forscher haben über den OpenAI-Hack hinaus ihre Untersuchung unter dem Namen HEIF Heist auf Slack, Meta, GitHub Enterprise und weitere Ziele ausgeweitet. Das gesamte Projekt habe zwei Monate gedauert, weniger als 3.000 US-Dollar an KI-Kosten verursacht und sei von drei Personen durchgeführt worden. Die Anpassung an jedes neue Ziel habe nur ein bis zwei Tage gedauert. Kein Unternehmen außer Shopify habe die Aktivität bemerkt, obwohl tausende Bilder hochgeladen wurden und die Bildverarbeitung wiederholt abstürzte.

Software habe lange von einer Art Sicherheit durch Komplexität profitiert, schreibt Hacktron in seinem Fazit. Der Quellcode und selbst die Schwachstelle konnten öffentlich sein, doch einen Bug in einen zuverlässigen Exploit zu verwandeln, erforderte seltene Expertise, viel Zeit und Wissen über die Zielumgebung. Bekannte Speicherfehler waren teuer in der Ausnutzung, Zero-Days blieben den wertvollsten Zielen vorbehalten. Das sei nie eine echte Sicherheitsgrenze gewesen, habe aber gewöhnliche Unternehmen in der Praxis geschützt.

KI hebe diesen Schutz auf, indem sie knappe Expertise in Rechenleistung umwandle. Ein realistisches Bedrohungsmodell müsse die heutigen Kosten von Angriffen berücksichtigen, schreibt Hacktron AI, statt sich auf veraltete Annahmen darüber zu stützen, wer anspruchsvolle Attacken durchführen könne.

"Arbeit, die einst ein gut ausgestattetes Team und Monate an Aufwand erforderte, lässt sich nun in Tage komprimieren", schreibt das Team.