黑客 OpenAI

简介 2026 年 7 月 25 日，我们串联了两个严重漏洞来危害多名 OpenAI 员工的 ChatGPT 帐户。有了这些帐户，我们就可以访问内部 OpenAI 存储库，以及可能的许多其他连接器。为了证明我们确实获得了我们认为的访问权限，而又不允许自己了解任何敏感信息，我们使用员工的 Codex 在 OpenAI 的内部 monorepo openai/openai 中打开 PR #1186742。漏洞利用链 libheif 图像解码器 Debian 缺少安全向后移植 ImageMagick 使用 libheif Discourse 图像上传 OpenAI 论坛community.openai.com OpenAI SSO 身份缺陷 ChatGPT / Codex 帐户访问 GitHub 连接集成 内部存储库 OpenAI 直到两个月前，登录 OpenAI 自己的帮助论坛 (community.openai.com) 的任何用户或 OpenAI 员工的 ChatGPT 和 Codex 帐户都可能被盗用。由于人们可以将各种服务连接到 Codex 和 ChatGPT，因此理论上我们可以访问的范围非常巨大，包括 GitHub、Slack 和电子邮件。从最初发现到访问 OpenAI 存储库的整个时间线不到 72 小时。我们立即向 OpenAI 和 Discourse 报告了最初的漏洞，并与他们合作协调修补程序。我们感谢他们对细节的关注和对这一问题的快速解决。 OpenAI 还向我们支付了 6,500 美元的赏金。我们在此提供披露流程的完整时间表。文章的其余部分详细介绍了我们如何发现这两个漏洞、如何使用克劳德模型以及我们从这次经验中得到的收获。背景几个月前，我们 Hacktron 的团队在 Harsh Jaiswal 以及 Mohan Pedhapati 和 Rahul Maini 的带领下，开始研究前沿人工智能公司，以发现安全漏洞。这导致我们在 OpenAI 的身份基础设施中发现了 SSO 配置错误，并在 OpenAI 使用的社区论坛中发现了 libheif RCE。此后，我们将研究范围扩大到 HEIF Heist，这是一项历时数月的调查，追踪 Slack、Meta、GitHub Enterprise、Ruby on Rails 和 Node.js 框架（例如 Next.js、Astro 和 Gatsby）中的 libheif。数量惊人的广泛使用的软件依赖于这个图像处理库。如果您的应用程序处理用户控制的图像并接受 .heic/.heif/.avif 图像，则很可能会受到影响。如果您需要任何帮助，请通过 hello@hacktron.ai 联系我们。警告补丁通知：如果您自行托管 Discourse，请立即重建您的安装。较旧的 Docker 映像可能包含易受攻击的 libheif 依赖项，该依赖项允许通过映像上传执行代码。运行 git pull 然后从 /var/discourse 运行 ./launcher重建应用程序；单独的网络界面更新可能无法取代底层图像。 Discourse 托管的客户已经修复。请参阅安全公告。 OpenAI 在其论坛中使用 Discourse，并允许通过 auth.openai.com 进行“使用 OpenAI 登录”。在充分了解 OpenAI 的服务和基础设施后，我们有理由相信，破坏论坛可以通过此身份流创建一条通向更广泛 OpenAI 服务的路径。为了测试这个假设，我们首先需要在 OpenAI 服务（例如 Discourse 社区论坛）上远程执行代码。虽然 Discourse 应用程序本身实际上并不是一个容易的目标（我们过去已经研究过它），但我们认为我们可以追踪依赖项。 libheif 中的堆缓冲区溢出 7 月 23 日，我们开始审查 Discourse 的图像上传管道，发现 HEIC 和 HEIF 文件遵循了不寻常的路径。 Discourse 通常使用 FastImage 进行图像检查，但由于 FastImage 不支持 HEIF，因此它将这些文件传递给 ImageMagick 的 magick 命令进行转换。 2 这将底层 libheif 解析器直接暴露给攻击者控制的文件。我们使用 Discourse Docker 镜像启动了 Opus 4.8 会话，并要求它检查已安装的 libheif 包是否存在安全问题。一段时间后，它发现一些特定的安全修复程序没有向后移植到 libheif 包中。这允许堆缓冲区溢出，导致 HEIC 解码期间出现 OOB R/W 原语。有趣的是，易受攻击的代码已于前一年在上游进行了更改，但提交并未记录为安全修复程序，也没有收到 CVE。 3 这可能是 Debian 12 和 13 没有及时收到安全相关向后移植的原因。由于 Discourse 的 Docker 镜像基于 Debian 12，因此它安装了易受攻击的 libheif 版本 1.19.7。即使 Debian 13 当时仍然发布了存在漏洞的版本 1.19.8。此后，Debian 于 2026 年 8 月 8 日发布了 Debian 13 的安全更新。4 7 月 24 日，我们使用 Opus 4.8 开发了一个禁用 ASLR 的有效 ImageMagick/libheif 代码执行漏洞。然后，我们启动了几个单独的会话，以使其在启用 ASLR 的情况下相对于 Discourse 的默认配置可靠，但这并没有取得成果。 Opus 5 发布 当晚，Anthropic 发布了 Claude Opus 5。