研究人员利用 Anthropic 的 Claude 入侵 OpenAI

据《华尔街日报》周四晚间报道，独立安全研究人员利用 Anthropic 的 Claude 闯入了 OpenAI，暴露了 ChatGPT 制造商防御系统中的漏洞，这体现了人工智能安全的奇怪新状态。初创公司 Hacktron AI 的三人安全团队执行了此次攻击，作为 OpenAI 漏洞赏金计划的一部分。 Hacktron 向 OpenAI 报告了其发现，OpenAI 为这家初创公司提供了 6,500 美元的奖励。该团队设法将两个关键漏洞链接在一起，以访问多个 OpenAI 员工 ChatGPT 帐户，从而使他们能够访问该公司的软件。 OpenAI 表示，它已经解决了 Hacktron 发现的问题，而这一问题恰好发生在顶级人工智能公司面临越来越大的安全压力之际。此次事件发生几周前，OpenAI 自己的人工智能代理在一次网络安全评估期间突破了遏制，并入侵了 Hugging Face，这表明人工智能模型在做出自己的决策方面有多么强大的能力。它还强调了如何使用现成的技术来发现即使是最先进的公司基础设施中的漏洞。人工智能安全公司 Gray Swan 的首席执行官马特·弗雷德里克森 (Matt Fredrikson) 告诉 TechCrunch：“每月只需 200 美元，任何人都可以使用这些工具并侵入 OpenAI 这样的公司。” “如果这种事发生在他们身上——而且我认为他们最近在网络安全卫生方面并没有懈怠——那么这种事就可能发生在任何人身上。”或者正如一位人工智能专家在社交媒体上指出的那样：“[Hacktron] 使用 Opus 5 完成了黑客攻击……我们会问的问题是，如果这三个人能够完成这一任务，那么一个民族国家可以做什么。”研究人员于 7 月 25 日通过 Discourse（为 OpenAI 社区论坛提供支持的第三方软件）中的缺陷发现了进入 OpenAI 的途径。根据研究人员发表的博客，入口点是普通的图像上传。当用户将 HEIF 或 HEIC 图像文件（iPhone 默认使用的格式）发布到 OpenAI 的社区论坛时，Discourse 将它们通过一系列幕后工具将其转换为标准 JPEG。它的第一站是 ImageMagick，这是一个已有数十年历史的开源实用程序，用于调整图像大小。由于 ImageMagick 的常用工具包无法处理 Apple 的格式，因此它将文件交给另一个名为 libheif 的库来进行解码。 libheif 中埋藏着一个内存错误，它为攻击者提供了一条偷偷输入自己指令的路径。在这种情况下，向库提供特制图像会导致它错误计算一个图像位于另一个图像之上的位置，这足以劫持服务器。让网络安全社区感到不安的是，libheif 的开发人员在几个月前就已经修复了该错误。但该修复从未被正式标记为漏洞，这意味着它从未获得 CVE（常见漏洞和暴露）编号，而 CVE 编号是行业跟踪已知安全漏洞的标准方法。 Hacktron 表示，这或许可以解释为什么 Discourse 使用的软件仍然运行有漏洞的版本。值得注意的是，研究人员表示，他们使用的 Claude 模型（为网络安全研究人员提供的 Opus 4.8 的特殊版本）一开始无法构建有效的漏洞。当 Anthropic 发布 Opus 5 时，情况一夜之间发生了变化。“Opus 4.8 在几个会话中挣扎才产生一个有效的漏洞，”Hacktron 在一篇博客文章中写道。 “Opus 5 发布后几个小时内，我们给它提出了同样的问题，但它成功了。”一旦进入 Discourse 服务器，研究人员发现了另一个缺陷，使他们能够接管用户的 ChatGPT 和 Codex 帐户，包括那些属于 OpenAI 员工的帐户。 Hacktron 在事件摘要中写道：“我们随后接管了 OpenAI 员工的帐户，该帐户的 Codex 已连接到 OpenAI 的 Github 组织。”此时，研究人员向 OpenAI 和 Discourse 发出了警报，后者于 7 月 27 日发布了修复程序。这一事件让人们关注模型能力的界限。最终破解该漏洞的版本 Claude Opus 5 并未面临任何安全出口限制，而新版本 Mythos 5 则因对其高级黑客功能的担忧而被暂时锁定。这些只是封闭模型。开放权重模型越来越多地追赶网络能力的前沿。例如，人工智能安全非营利组织 SaferAI 最近发现，中国公司 Z.ai 的 GLM-5.2 仅落后 OpenAI 的 GPT-5.5 和 Anthropic 的 Claude Opus 4.7 几个月。正如 Hacktron 创始人 Mohan Pedhapati 在 X 上所说：“人工智能正在减少开发漏洞所需的稀缺专业知识。曾经需要数月才能完成的工作现在只需几天即可完成。”