9月18日消息,安全研究公司 Hacktron 在博客中披露,其团队于7月25日串联两个漏洞,接管多名 OpenAI 员工的 ChatGPT 与 Codex 账号,并借此触及 OpenAI 内部代码仓库。从发现漏洞到打开内部仓库的访问通道,全程不到 72 小时。披露方称已按流程向 OpenAI 与 Discourse 报告并协调修复,OpenAI 支付了 6500 美元赏金。目前事件细节只有 Hacktron 一方的公开叙述,OpenAI 与 Discourse 均未单独发布公告。
攻击链:从一张图片到内部仓库
按 Hacktron 的披露,链条的第一环是图片解码库 libheif。OpenAI 的社区论坛 community.openai.com 用 Discourse 搭建,用户上传 HEIC/HEIF 图片时,文件被转交 ImageMagick 处理,把底层 libheif 解析器暴露在攻击者可控的文件面前。上游在前一年修掉了相关代码,但那次提交没有被标记为安全修复、没有分配 CVE 编号,Debian 12 与 13 因此没有及时回填补丁,Discourse 的 Docker 镜像装的是存在堆缓冲区溢出的 libheif 1.19.7。Hacktron 用这一缺陷在论坛服务器上实现了远程代码执行。
第二环在 OpenAI 自己的身份系统。论坛支持「Sign in with OpenAI」,Hacktron 称发现 OpenAI 的 SSO(auth.openai.com)存在配置缺陷,论坛失陷可以升级为账号接管——拿到的是员工日常的 ChatGPT 与 Codex 账号,而 Codex 连着 GitHub 等一串连接器。Hacktron 强调这个缺陷不特定于 Discourse:任何一个接入 OpenAI SSO 的自营或第三方服务被攻破,都会产生同样的后果。
为证明影响又不接触敏感信息,Hacktron 用一名员工的 Codex 在 OpenAI 内部 monorepo openai/openai 里开出 PR #1186742,测试到此为止。Hacktron 称,漏洞报告走了 OpenAI 的 BugCrowd 与 Discourse 的 HackerOne;Discourse 周六收到报告、周日回复、周一完成修复并开始对 ImageMagick 做沙箱隔离,托管客户已获补丁。自建 Discourse 的用户需要用 git pull 加重建镜像的方式修复,网页端升级换不掉底层有漏洞的镜像。libheif 的最新安全版本为 v1.23.4。
AI 干了多少活:代际差距决定成败,护栏被 CTF 伪装绕过
这次披露的另一半信息量是 AI 在攻击中的分工。Hacktron 的记录显示,7月23日团队让 Claude Opus 4.8 审查 Discourse 镜像里的 libheif 包,模型找到了缺失的安全回填;7月24日 Opus 4.8 做出关闭 ASLR 的可用 exploit,但多个会话都没能在默认开启 ASLR 的配置下成功。当晚 Anthropic 发布新一代 Opus,新模型 3 小时内写出针对 Mac 的 ARM64 exploit,随后移植到 Discourse 使用的 x86-64 与 jemalloc 环境;7月25日早上 6 点,本地 RCE 确认。 一个值得记录的细节是护栏失效的方式。模型拒绝为远程目标编写 exploit,Hacktron 把自有的 Discourse Cloud 实例套上一层代理,伪装成 CTF 靶场(域名 rce.ee/ctf-forum),模型便继续工作,上午 10 点在测试实例上完成 RCE。同一套脚本随后用于 OpenAI 的真实论坛。
这次攻击属于 Hacktron 一个更大的研究项目 HEIF Heist。按其自报,项目持续两个月,追踪 libheif 在 Slack、Zoom、Meta、GitHub Enterprise 等软件中的影响面,三名研究者总 token 成本不到 3000 美元,适配每个新目标通常一两天;Hacktron 称,在上千张图片投递、目标图片处理器反复崩溃的情况下,只有 Shopify 检测到了异常。
说明什么:「复杂即安全」的实际保护正在消失
Hacktron 在文末给出的判断是,软件行业长期依赖一种隐性保护:漏洞公开不等于可用,把内存破坏漏洞做成可靠 exploit 需要稀缺专长、时间和对目标环境的了解。AI 正在把这种专长折算成算力成本——过去需要资源充足的团队花数月完成的工作,现在压缩到几天。这不是某一家公司的问题,而是威胁模型假设的更新:现实防御应按今天的攻击者经济学来设计。
对前沿实验室,这件事还有一层指向自身的含义:OpenAI 在4月就推出过高风险账号的高级安全模式,给员工配了硬件密钥,但失陷点落在论坛 SSO 这类外围入口上。账号本体防护做得再多,接入同一套身份系统的第三方服务仍然是软肋。
需要交代来源边界:以上攻击细节、成本数字与「只有 Shopify 检测到」等说法全部出自 Hacktron 的单方披露,OpenAI 与 Discourse 的响应情况也只有 Hacktron 的转述。Hacktron 是一家 2025 年创立的旧金山安全公司,创始团队出身 CTF 竞技,今年5月完成 290 万美元 pre-seed 融资,此前还披露过 OpenAI Atlas 浏览器的 XSS 漏洞。这类披露同时是研究记录与公司能力的展示,读者应按这个双重属性来读。