安全研究人员利用Claude模型攻入OpenAI内部系统

三名安全研究人员（Hacktron团队）利用Anthropic的Claude模型，通过OpenAI社区论坛的libheif旧版图像库漏洞和SSO配置缺陷，接管员工ChatGPT和Codex账户并进入内部代码仓库，攻击在不到72小时内完成。团队称最初用Claude Opus 4.8只能在不启用ASLR时构建可用漏洞利用，7月24日晚Anthropic发布Claude Opus 5后，新模型在三小时内为本地Mac生成可用漏洞利用，随后适配到Discourse服务器环境；因模型拒绝针对真实系统写漏洞利用，团队将目标包装为基准任务，四小时后代理接管服务器。OpenAI在报告后约14小时确认修复。

s1r1us发推称，7月25日利用两个漏洞接管了OpenAI员工（及部分非关联用户）的ChatGPT/Codex账号，并能访问Outlook、Slack、GitHub等连接服务，通过在OpenAI内部代码库提交PR加以证明，整个过程耗时不到72小时；该推文发布于2026年9月18日。

据《华尔街日报》报道，Hacktron 三名独立安全研究员称利用 Anthropic 的 Claude Opus 4.8 和 5，通过 Discourse 论坛系统的 HEIF 图像处理漏洞，在 72 小时内入侵 OpenAI 员工账户，访问其 GitHub Monorepo 仓库；他们未访问内部代码，仅从员工 Codex 账户发送 pull request 证明访问。相关漏洞已修复，OpenAI 支付 6,500 美元赏金。

原文称，初创公司 Hacktron AI 的三人安全团队在 OpenAI 漏洞赏金计划中，借助 Anthropic 的 Claude Opus 5（此前 Opus 4.8 未能构建出可用漏洞利用）通过 Discourse 论坛软件中 libheif 的内存漏洞链入侵 OpenAI，接管包括员工在内的多个 ChatGPT 和 Codex 账户并进入 OpenAI 的 GitHub 组织；研究团队称 7 月 25 日找到入侵路径。

研究人员利用Claude入侵OpenAI，利用OpenAI由第三方Discourse托管的社区论坛设置缺陷，获取内部登录凭证，最终进入一名OpenAI员工的ChatGPT账户，该账户可通过GitHub访问内部代码。OpenAI感谢研究者并称已修复问题，Anthropic拒绝置评，Hacktron未立即回应。披露于周四，由《华尔街日报》首先报道。

作者借OpenAI经Claude遭外部黑客攻击一事发表观点：封闭模型仍是AI风险的冰山一角，而非开放模型；理由是封闭模型更易上手、能力更强且附带易泄露的防护措施，而将开放模型微调用于特定攻击更难。

据《华尔街日报》报道，安全公司Hacktron AI的研究人员利用Anthropic Claude找到Discourse漏洞CVE-2026-45788的利用方法，获取论坛登录token后，这些token在ChatGPT上有效，其中也包括属于OpenAI员工的账户，相关token还可用于访问OpenAI的GitHub服务；研究人员以ChatGPT为界面可读取私有仓库Monorepo中的文件，在意识到可访问敏感数据后停止攻击并向OpenAI报告，OpenAI支付6500美元赏金，称两处问题均已解决并缩小和撤销了受影响token。Anthropic发言人拒绝置评。

据华尔街日报报道，三名研究人员使用 Claude Opus 5 将 Discourse 漏洞串联，获得包括 OpenAI 员工在内的身份验证令牌，部分令牌可用于 ChatGPT 并进一步访问 OpenAI 的 GitHub 服务。OpenAI 表示其审查仅发现对私有仓库元数据和代码更改的“有限读取”，并认为模型权重未被泄露。

HacktronAI团队报告其于2026年7月25日串联libheif堆缓冲区溢出（Discourse未及时回移安全补丁）与OpenAI SSO身份缺陷，实现对OpenAI员工ChatGPT/Codex账户的无需交互接管，并通过该员工Codex在openai/openai内部monorepo打开一个无害PR证明访问权限，随后停止测试并负责任披露。

原文称3名研究人员使用Claude Opus 5将一个图片上传漏洞转化为OpenAI员工账号接管，并让被攻陷员工的Codex在OpenAI内部monorepo中打开PR；整个攻击花费不到3000美元代币费用。

Hacktron团队称其于2026年7月25日利用Claude Opus 4.8与Opus 5在约72小时内发现Discourse论坛libheif堆缓冲区溢出（RCE）和OpenAI SSO配置缺陷，接管OpenAI员工账户并通过其Codex在内部monorepo打开无害PR以证明影响，随即负责任披露；OpenAI约14小时内修复并支付6500美元赏金，Discourse亦于数日内发布补丁和安全通告。