Im Quellenvergleich
Worin die Quellen übereinstimmen
Die Sicherheitsfirma Hacktron AI drang nach eigenen Angaben in Systeme von OpenAI ein und verschaffte sich Zugang zu ChatGPT-Konten von OpenAI-Mitarbeitern. Der Einstieg gelang über das Mitarbeiter- bzw. Community-Forum von OpenAI auf der Plattform Discourse. Die Forscher nutzten dabei den Anthropic-Chatbot Claude, um Code für den Angriff zu erzeugen. Über GitHub reichten sie einen Änderungsvorschlag am Code ein und konnten den Code des internen Repositorys einsehen. Hacktron meldete den Angriff im Rahmen von OpenAIs Bug-Bounty-Programm. OpenAI bestätigte, die ausgenutzten Schwachstellen behoben zu haben, und zahlte eine Prämie von 6.500 Dollar. Die Forscher erklären, KI-Werkzeuge machten komplexe Angriffe deutlich einfacher und verkürzten die Vorbereitung erheblich. Die Quellen berichten in vielen technischen Details übereinstimmend, unterscheiden sich aber in Modellversionen, Zeitangaben und der Einordnung des Vorfalls.
Worin sie sich unterscheidenVerwendete Claude-Modellversion·Verwendetes OpenAI-Modell beim eigentlichen Angriff·Zahl der beteiligten Forscher+11 weitere
Verwendete Claude-ModellversionFür den ersten Zugang nutzten die Forscher den Chatbot Claude von Anthropic.- Eine Claude-Opus-4.8-Sitzung identifizierte die fehlenden Sicherheitskorrekturen im installierten libheif-Paket.1
- Nach Erscheinen von Claude Opus 5 am Abend brauchte das Modell drei Stunden, um einen Exploit für ARM64 zu bauen und auf x86-64 mit jemalloc zu übertragen.1
Verwendetes OpenAI-Modell beim eigentlichen Angriff- Den eigentlichen Angriff führten die Forscher überwiegend mit OpenAIs eigenem Modell GPT-5.6 Sol aus.2
- Die Forscher bemerken einen weiteren Fähigkeitssprung zwischen Opus 5 und GPT-5.6 Sol bei der Ausnutzung ohne Kenntnis des Zielsystems.1
Zahl der beteiligten Forscher- Drei Forscher der Sicherheitsfirma Hacktron übernahmen Konten von OpenAI-Mitarbeitern bei ChatGPT und Codex.1
Datum des Zugriffs auf die Konten- Die Forscher übernahmen am 25. Juli 2026 Konten von OpenAI-Mitarbeitern bei ChatGPT und Codex.1
- Am 24. Juli erzeugte Opus 4.8 einen funktionierenden Exploit bei deaktivierter Adressrandomisierung, scheiterte aber an der Standardkonfiguration.1
Dauer bis zum Zugriff auf das interne Repository- Vom ersten Fund bis zum Zugriff auf das interne Repository vergingen weniger als 72 Stunden.1
- Der Bericht ging am 25. Juli zwischen 8 und 10 Uhr UTC über Bugcrowd ein, OpenAI bestätigte den Fix um 22:49 Uhr desselben Tages, also nach rund vierzehn Stunden.1
Zeitpunkt der Veröffentlichung des Berichts- Der Bericht erschien am 13. September, nachdem beide Lücken geschlossen waren.1
- Hacktron meldete den Angriff im Rahmen von OpenAIs Programm für ethische Hacker.2
Umfang des Zugriffs auf den Repository-Code- Den Code des Repositorys konnten die Forscher laut eigener Aussage einsehen, luden ihn aber nicht herunter.2
- Als Beweis ließen die Forscher Codex eine Merge-Anfrage im internen Repository openai/openai öffnen.1
Kosten des Angriffs- Der Angriff verursachte Kosten von weniger als 3.000 Dollar an Tokens.1
- Hacktron erhielt 6.500 Dollar aus dem Bug-Bounty-Programm.2
Ursache der Schwachstelle- Die Lücke, die aus der Forumskompromittierung einen Zugang zu ChatGPT und Codex machte, ist nach Angaben der Forscher nicht Discourse-spezifisch, sondern ein Defekt der Single-Sign-on-Authentifizierung von OpenAI.1
- FastImage verarbeitet das Format HEIF nicht, daher konvertierte ImageMagick die Dateien und setzte so libheif angreifbaren Dateien aus.1
Details zur libheif-Schwachstelle- Ein Pufferüberlauf beim Dekodieren einer HEIC-Datei erlaubte Lese- und Schreibzugriffe außerhalb der Grenzen.1
- Der ursprüngliche Patch war nicht als Sicherheitskorrektur gekennzeichnet und hatte keine CVE-Nummer, weshalb Debian 12 die verwundbare Version 1.19.7 und Debian 13 die 1.19.8 installierte.1
- Die Debian-Aktualisierung kam erst am 8. August 2026.1
Reaktion von Discourse- Discourse antwortete über HackerOne am Sonntag, hatte am Montag einen Fix und veröffentlichte am 28. Juli den Hinweis GHSA-vhm9-85gw-x335, wobei die Bildverarbeitung zusätzlich isoliert wurde.1
- OpenAI gibt an, dass Tests gegen das von Discourse gehostete Forum ausdrücklich vom Umfang des Programms ausgeschlossen waren und die 6.500 Dollar die Entdeckung auf OpenAI-Seite belohnen, nicht die Aktionen gegen Discourse.1
Einordnung als Kampagne- Die Intrusion ist Teil einer Kampagne, die Hacktron HEIF Heist nennt: eine zwei Monate lange Untersuchung zu libheif in Bildverarbeitungsketten von Slack, Meta, GitHub Enterprise, Ruby on Rails und Node.js-Frameworks wie Next.js, Astro und Gatsby.1
- Die Anpassung des Exploits an jedes neue Ziel dauerte ein bis zwei Tage.1
- Nach ihrem Wissen erkannte nur ein Unternehmen, Shopify, die Aktivität, obwohl Tausende Bilder gesendet wurden und die Bildprozessoren wiederholt abstürzten.1
Grad der Autonomie der KI-Modelle- Die Forscher stellen die Sache nicht als autonomes Hacken dar; wenn die Codeausführung in einer Sandbox landete, halfen die Modelle bei Rechteausweitung, lateraler Bewegung und Umgehung von Abwehrmaßnahmen, doch menschliche Steuerung blieb entscheidend.1
- Was sich ändere, sei die Arbeitsmenge, die ein kleines Team bewältigen kann.1
Empfehlungen zur Absicherung- Hacktron empfiehlt, unnötiges HEIF- und AVIF-Dekodieren abzuschalten oder Bildverarbeitungsketten in kurzlebigen Sandboxen zu isolieren.1
- Die letzte Sicherheitsversion von libheif war am 14. September 2026 die 1.23.4, wobei 1.23.2 selbst durch spätere Patches überholt wurde.1