Claude Opus 5 帮助研究人员通过漏洞链接管 OpenAI 员工账户

安全公司 Hacktron 的三名研究人员利用 Anthropic 的 Claude Opus 5 串联两个漏洞，接管了多名 OpenAI 员工的 ChatGPT 和 Codex 账户，进而触及 OpenAI 的一个内部代码仓库。

这条漏洞链始于运行 OpenAI 公共帮助论坛的软件中的一个缺陷，随后穿过 OpenAI 自身登录系统中的一个弱点。

这是安全研究，而非真实世界的攻击：该团队将漏洞报告给了 OpenAI，用一个无害的 pull request 证明了访问权限，随后便停止了。从最初查看到获得内部访问权限，耗时不到 72 小时。

据 Hacktron 称，OpenAI 在收到报告约 14 小时后确认了修复，并于 9 月 1 日向该团队支付了 6,500 美元的赏金。OpenAI 表示，这笔奖励 "认可的是 OpenAI 侧的发现，而非针对 Discourse 的操作"，Discourse 是运行该论坛的开源软件。对论坛本身的测试不在其漏洞赏金计划范围内。

OpenAI 未公开描述该登录漏洞，而是通过修复和付款来确认这一发现，而非详细说明账户接管的情况。

Hacktron 自称是一家 AI 辅助安全研究公司，对其所做和未做的事情十分谨慎。当打开某位员工在 GitHub 上指向 OpenAI 代码的 Codex 链接时，它在内部仓库中触发了一个 pull request。它没有读取任何源代码、没有合并或发布任何内容，也没有触碰客户数据。

这条漏洞链本可触及的范围要大得多。由于员工将其他服务连接到 ChatGPT 和 Codex，该团队表示，同样的访问权限在理论上可能扩展到 GitHub、Slack 和电子邮件等工具。这种更广泛的范围是可能的，但并未被使用。

为什么一个论坛漏洞能触及员工账户

一个公共论坛中的漏洞之所以能触及员工账户，原因在于 OpenAI 的登录系统，而非论坛软件。OpenAI 的论坛提供 "Sign in with OpenAI" 选项，与员工在其他地方使用的单点登录 (SSO) 相同。

一旦研究人员控制了论坛服务器，共享登录便让他们能够接管在 OpenAI 工作的论坛成员的 ChatGPT 和 Codex 账户。受害者无需做任何事情。

Hacktron 表示，这是 OpenAI 的身份问题，而非论坛软件的缺陷：任何使用相同登录方式的第一方或第三方服务都可能授予同样的访问权限。

入侵途径是一个图像漏洞。 该论坛运行在 Discourse 上，Discourse 会将上传的 HEIC 和 HEIF 图像传递给一个名为 ImageMagick 的工具，该工具使用 libheif 库来读取它们。libheif 中的一个缺陷让一张特制的图像能够破坏论坛服务器的内存。

Discourse 的公告将该结果评为远程代码执行，评分为 10 分中的 8.8 分，并跟踪编号为 CVE-2026-32882。而该漏洞本身的公开记录则范围更窄。在 libheif 自己的公告和各国漏洞数据库中，CVE-2026-32882 是一个越界读取，可导致软件崩溃或泄露邻近内存，而非直接的代码执行漏洞。

泄露的内存有助于攻破一项名为 ASLR 的常见防护。研究人员称，他们在 AI 的帮助下，将 libheif 的内存漏洞组合起来，把崩溃转化为在论坛服务器上可用的代码执行。在上游，该漏洞已于 2026 年 5 月在 libheif 1.22.0 中修复。

该修复在测试之前数月就已存在。但研究人员在 7 月查看时，该论坛基于 Debian 12 Linux 发行版构建的服务器镜像仍在搭载旧的、未打补丁的 libheif，版本为 1.19.7。修复及其 CVE 已经公开，但 Debian 尚未将其纳入论坛所使用的打包版本中。

如果你运行自己的 Discourse 服务器，这一部分会直接影响你。请在最新镜像上重新构建以获取已修补的 libheif，因为仅通过 Web 界面更新可能无法替换旧库。由 Discourse 托管的站点已经修补，已修复的自托管版本为 2026.7.0、2026.6.1、2026.5.2 和 2026.1.6。

研究人员如何使用 AI

研究人员用 AI 来完成最难的部分。他们最初尝试了 Claude Opus 4.8，在启用一项标准内存防护 ASLR 后，它在多次会话中苦苦挣扎，难以构建可用的漏洞利用程序。

Anthropic 于 7 月 24 日晚发布了其下一代模型 Claude Opus 5，在一个全新的会话中，它数小时内便产出了一个可用的漏洞利用程序。

Opus 5 出厂时带有旨在阻止其为真实目标编写漏洞利用代码的防护措施。研究人员通过将模型指向他们自己的测试服务器（伪装成一个 capture-the-flag 练习靶标），然后让它在一个自动化循环中运行，从而绕过了这些防护。即便如此，他们表示这项工作并非完全放手：熟练的人工指导仍然重要，这不是无人操控的自动化黑客攻击。

这一案例印证了研究人员和 AI 公司今年所描述的：强大的 AI 模型正在大幅缩短严重攻击性工作过去所需的时间和技能。Anthropic 已报告称，犯罪组织和国家支持的组织已经在使用其 Claude 模型执行真实入侵，而不仅仅是回答问题。

OpenAI 只是 Hacktron 称为 HEIF Heist 的一个更大项目中的一个目标。该团队称，在约两个月的时间里，他们在其他大型公司使用的软件中发现了同一类图像解码漏洞，AI 使用总成本不到 3,000 美元。它将该行动与 Slack、Meta 的产品、GitHub Enterprise 以及 Next.js 等 Web 框架中已报告的漏洞联系起来。

这些更广泛的说法所获证据并不均衡。Next.js 漏洞在 Vercel 自己的公告中得到确认，libheif 的维护者也确认了与 Meta 相关的那个漏洞存在可用的代码执行利用程序。而关于在许多应用中实现代码执行的更广泛说法尚未得到独立确认，The Hacker News 在 8 月首次报道 Next.js 漏洞时已指出这一局限。

这一更广泛的行动在团队事先对目标一无所知的情况下使用了另一个模型，即 OpenAI 自己的 GPT-5.6 Sol。研究人员称，只有一家公司 Shopify 似乎察觉到了该活动，尽管其图像处理器在数千次测试上传下反复崩溃。

The Hacker News 已联系 Hacktron，询问论坛代码执行是如何实现的以及账户访问的范围。

应对措施

更大的教训不止于 Discourse。如果你的服务接受用户图像并通过 libheif 读取 HEIC、HEIF 或 AVIF 文件，那么一个旧的构建版本可能就会暴露。

而如果一个公共的、信任度较低的服务与内部工具共享你的单点登录，那么该服务上的一次入侵就可能变成同一登录所能触及的所有地方的一次入侵。

• 将 libheif 更新到最新的安全版本（截至 2026 年 9 月初为 1.23.4）或你的发行版已修补的构建版本。
• 在不需要的地方，关闭对不可信 HEIF 和 AVIF 图像的解码，或在锁定隔离的沙箱中运行图像处理。
• 限制你的单点登录所信任的服务，并在敏感操作前要求进行全新的身份验证，而不是信任现有会话。

没有迹象表明该 OpenAI 漏洞在真实世界中被用于攻击任何人。截至 2026 年 9 月中旬，它未被列入美国政府已知被利用漏洞清单，尽管该清单也不能作为任何一方的证明。

现有报告未能厘清的是，一个已经打过补丁的组织是否仍应检查是否存在更早的访问；在这一点上，各方来源均未提及。