Drei Leute von der Sicherheitsfirma Hacktron AI sind im Juli in OpenAIs internes Code-Repository gekommen. Als Werkzeug diente Claude Opus 5. Diese Woche haben sie beschrieben, wie. Das Wall Street Journal hat es aufgegriffen, seitdem läuft die Meldung durch die Tech-Presse.
Vom Forenbild bis ins GitHub-Konto
Der Einstieg war OpenAIs Community-Forum, das auf der Software Discourse läuft. Die Forscher luden ein präpariertes HEIF-Bild hoch. Beim Verarbeiten auf dem Server lief eine veraltete Version der Bibliothek libheif in einen Heap-Overflow. Aus dem Speicherfehler machten sie Codeausführung auf dem Forenserver.
Von dort ging es weiter über die Sitzungsverwaltung. Aus der Forendatenbank zogen sie Session-Tokens, und die Anmeldung von OpenAI trennte Forensitzungen nicht sauber von den übrigen Diensten. Damit übernahmen sie das Konto eines OpenAI-Mitarbeiters — eines, dessen Codex mit der GitHub-Organisation der Firma verbunden war. Danach standen GitHub, Slack und Mail offen. Als Beleg öffneten sie einen harmlosen Pull Request im privaten Repository.
Dort liegt das Monorepo, in dem OpenAI seinen Code hält.
Opus 4.8 scheiterte, Opus 5 nicht
Der spannendste Satz im Bericht der Forscher ist keiner über OpenAI, sondern einer über Modelle: „Opus 4.8 hat sich über mehrere Sitzungen hinweg abgemüht, einen funktionierenden Exploit zu bauen. Innerhalb von Stunden nach dem Erscheinen von Opus 5 hat es geklappt.”
Gearbeitet haben sie mit einer für Sicherheitsforschung freigeschalteten Fassung von Claude, bei der die üblichen Sperren gelockert sind. Die Speicherstrukturen analysieren und daraus den Exploit-Code schreiben — das übernahm das Modell.
6.500 Dollar und ein paar Stunden Reparatur
Gefunden haben sie die Lücke am 25. Juli, benachrichtigt haben sie OpenAI und Discourse am 27. Juli. Discourse lieferte den Fix, OpenAI schloss die Lücken laut Tom’s Hardware binnen 14 Stunden nach der Meldung. Ausgezahlt hat OpenAI 6.500 Dollar aus dem eigenen Bug-Bounty-Programm.
Für einen Vollzugriff auf das Code-Repository eines der teuersten Unternehmen der Welt ist das ein überschaubarer Betrag.
Das Abo ist billiger als die Abwehr
Matt Fredrikson, Chef von Gray Swan, sagt den Satz, der hängen bleibt: „Für 200 Dollar im Monat kann jeder diese Werkzeuge benutzen und in eine Firma wie OpenAI einbrechen.”
Das ist die eigentliche Nachricht. Nicht, dass ein Forum eine alte Bildbibliothek hatte — das kommt vor. Sondern dass die Kette aus Speicherfehler, Exploit und Rechteausweitung inzwischen von einem Abonnement erledigt wird, das jeder kaufen kann. Anthropics Bedrohungsbericht vom September beschreibt dieselbe Fähigkeit von der anderen Seite: dort waren es Angreifer ohne gute Absichten.
Hier waren es Leute, die vorher Bescheid gesagt haben. Das ist der ganze Unterschied, und er hängt an nichts als am Vorsatz.
Quellen: