黑客 OpenAI

简介 2026 年 7 月 25 日，我们串联了两个严重漏洞来危害多名 OpenAI 员工的 ChatGPT 帐户。有了这些帐户，我们就可以访问内部 OpenAI 存储库，以及可能的许多其他连接器。为了证明我们确实获得了我们认为的访问权限，而又不允许自己了解任何敏感信息，我们使用员工的 Codex 在 OpenAI 的内部 monorepo openai/openai 中打开 PR #1186742。漏洞利用链 libheif 图像解码器 Debian 缺少安全向后移植 ImageMagick 使用 libheif Discourse 图像上传 OpenAI 论坛community.openai.com OpenAI SSO 身份缺陷 ChatGPT / Codex 帐户访问 GitHub 连接集成 内部存储库 OpenAI 直到两个月前，登录 OpenAI 自己的帮助论坛 (community.openai.com) 的任何用户或 OpenAI 员工的 ChatGPT 和 Codex 帐户都可能被盗用。由于人们可以将各种服务连接到 Codex 和 ChatGPT，因此理论上我们可以访问的范围非常巨大，包括 GitHub、Slack 和电子邮件。从最初发现到访问 OpenAI 存储库的整个时间线不到 72 小时。我们立即向 OpenAI 和 Discourse 报告了最初的漏洞，并与他们合作协调修补程序。我们感谢他们对细节的关注和对这一问题的快速解决。 OpenAI 还向我们支付了 6,500 美元的赏金。我们在此提供披露流程的完整时间表。文章的其余部分详细介绍了我们如何发现这两个漏洞、如何使用克劳德模型以及我们从这次经验中得到的收获。 2026 年 7 月 25 日 05:00–06:00 UTC 初步发现 HacktronAI 团队获得了对 Community.openai.com 托管的 Discourse 环境的远程代码执行 (RCE) 和管理访问权限。 2026 年 7 月 25 日 08:00–10:00 UTC Bugcrowd 提交 在确认跨产品影响后，团队在内部协调了负责任的披露流程，并通过 OpenAI 在 Bugcrowd 上的 Bug 赏金计划提交了一份报告。 2026 年 7 月 25 日 13:30–15:30 UTC OpenAI 员工帐户访问和概念验证为了演示该漏洞的实际影响，我们在 OpenAI 的内部 monorepo 中创建了一个无害的概念验证拉取请求（应 OpenAI 的要求编辑了链接）。我们用这些发现更新了现有的 Bugcrowd 提交，在 Twitter/X 上联系了 OpenAI 的朋友直接通知他们，并在世界标准时间 15:30 左右停止了所有进一步的测试。 2026 年 7 月 25 日 22:49:45 UTC OpenAI 端修复已确认 OpenAI 在初次提交后大约 14 小时回复了报告，确认问题已得到修复。 2026 年 7 月 25 日 Discourse 通过 HackerOne 报告 我们通过其 HackerOne 计划向 Discourse 提交了一份报告。 2026 年 7 月 26 日 Discourse 回应 Discourse 于周日回复了该报告。 2026 年 7 月 27 日 Discourse 修复就绪 Discourse 在周一之前已准备好修复，并添加了图像处理沙箱作为深度防御。 2026 年 7 月 28 日 Discourse Advisory 已发布 Discourse 发布了 GHSA-vhm9-85gw-x335，其中包含补丁和重建指南。 2026 年 9 月 1 日 OpenAI 奖励了 6,500 美元的赏金并标记为已解决的 OpenAI 评论 — 为了澄清该奖励的范围：针对 Discourse 托管的community.openai.com 进行的测试被明确排除在我们的错误赏金计划之外。该奖项认可了 OpenAI 方面的发现，而不是针对 Discourse 的行动。背景几个月前，我们 Hacktron 的团队在 Harsh Jaiswal 以及 Mohan Pedhapati 和 Rahul Maini 的带领下，开始研究前沿人工智能公司，以发现安全漏洞。这导致我们在 OpenAI 的身份基础设施中发现了 SSO 配置错误，并在 OpenAI 使用的社区论坛中发现了 libheif RCE。此后，我们将研究范围扩大到 HEIF Heist，这是一项历时数月的调查，追踪 Slack、Meta、GitHub Enterprise、Ruby on Rails 和 Node.js 框架（例如 Next.js、Astro 和 Gatsby）中的 libheif。数量惊人的广泛使用的软件依赖于这个图像处理库。如果您的应用程序处理用户控制的图像并接受 .heic/.heif/.avif 图像，则很可能会受到影响。如果您需要任何帮助，请通过 hello@hacktron.ai 联系我们。黑客社区.openai.com 警告补丁通知：如果您自行托管 Discourse，请立即重建您的安装。较旧的 Docker 映像可能包含易受攻击的 libheif 依赖项，该依赖项允许通过映像上传执行代码。运行 git pull 然后从 /var/discourse 运行 ./launcher重建应用程序；单独的网络界面更新可能无法取代底层图像。 Discourse 托管的客户已经修复。请参阅安全公告。 OpenAI 在其论坛中使用 Discourse，并允许通过 auth.openai.com 进行“使用 OpenAI 登录”。在充分了解 OpenAI 的服务和基础设施后，我们有理由相信，破坏论坛可以通过此身份流创建一条通向更广泛 OpenAI 服务的路径。为了测试这个假设，我们首先需要远程代码执行