白帽黑客借 Claude 入侵 OpenAI 获赏金，25%工程师转安全

IT之家 9 月 18 日消息，据《华尔街日报》今日报道，独立安全研究人员利用 Anthropic Claude 成功入侵了一名 OpenAI 员工的 ChatGPT 账户，得以获取该公司私有软件代码库的文档。

涉事团队来自安全公司 Hacktron AI，此前曾参与 OpenAI 的漏洞赏金计划。该计划为研究人员提供安全港，允许其在授权范围内尝试突破企业系统。团队在发现漏洞后迅速向 OpenAI 报告了相关情况，OpenAI 随后向该团队支付了 6,500 美元（IT之家注：现汇率约合 43,692 元人民币）赏金。

OpenAI CEO 萨姆 · 奥尔特曼及其同行于 9 月 13 日呼吁暂缓 AI 开发，称其推进速度过快，可能会对全人类造成危害。

OpenAI 于 9 月 16 日披露了此前未报告的安全事件，并宣布了新的安全事件报告政策。在此背景下，OpenAI 总裁格雷格 · 布罗克曼表示，公司已从原有项目中抽调约 25% 的生产工程师，集中投入安全防护和架构加固工作。

Hacktron AI 首席技术官 Mohan Pedhapati 表示，此次攻击表明，由国家支持的高级网络团队确有真实机会窥探美国的 AI 机密。他称：“我不觉得我们比他国威胁者更聪明。我们只是三个拥有 Claude 和 Codex 订阅的人。”

OpenAI 确认，黑客发现了两处问题：一处位于托管 OpenAI 社区论坛的第三方服务 Discourse，另一处涉及 OpenAI 自身。截至目前，两处问题目前均已得到解决。

OpenAI 表示：“我们感谢研究人员联系我们并分享其发现。我们已缩小社区登录 token 的权限范围，并撤销了受影响的 token 和会话。”Anthropic 发言人则拒绝置评。

此次入侵始于 7 月 23 日。Hacktron 研究人员当天发现了 Discourse 处理特定图像文件方式的漏洞。研究人员当时可使用面向合格网络安全从业者提供的 Claude Opus 4.8 特殊版本，并要求其编写利用该漏洞的攻击代码。首次尝试未成功。然后，Anthropic 当晚发布了 Opus 5，次日 Claude 便找到了利用该漏洞的方法。

被利用的漏洞编号为 CVE-2026-45788，属于 Discourse 安全上传功能中的无限制上传漏洞，攻击者可在知晓受保护上传 URL 的情况下暴露安全上传内容，无需身份验证即可远程发起攻击。Discourse 称其已于 7 月 25 日接到通知当天修复该漏洞。

此次攻击使研究人员得以访问托管 OpenAI 论坛的 Discourse 服务器，并获取账户登录 token。令他们没想到的是，这些 token 在 ChatGPT 上竟然有效，其中也包括属于 OpenAI 员工的那些账户。除此之外，相关 token 还可用于访问 OpenAI 的 GitHub 服务。

研究人员因不愿访问敏感数据，无法确定 OpenAI 源代码系统的具体用途，只表示该系统名为“Monorepo”。

据知情人士透露，Monorepo 是 OpenAI 存放算法机密的大型软件仓库，相当于该公司的“秘方”，用于使模型更快、更高效，但不包含模型权重。

研究人员以 ChatGPT 为界面，可读取 Monorepo 中的文件。他们在意识到可访问敏感数据后停止了攻击，但此前已提交了一个“拉取请求”—— 向仓库中的文档文件建议更改，内容包括“Hacktron AI Team PoC”字样以及 Pedhapati 和公司研究主管 Harsh Jaiswal 的 X 账户链接，作为其已获取访问权限的证明（该建议未被接受）。

OpenAI 表示，对 GitHub 的审查发现了对私有仓库元数据和代码更改的“有限读取”。AI 安全公司 Abundant Security 首席技术官 Joshua Saxe 在审阅 Hacktron AI 的事件报告后表示，此次攻击表明在 AI 时代保护企业机密的复杂性。“所有的软件都充斥着安全漏洞。我们尚未发现全部漏洞的原因在于，直到去年还只有几千个漏洞挖掘专家。”得益于 AI，现在普通人也能获得这种能力。

网络安全公司 ThreatDown 表示，犯罪分子也在获取这些能力。在网络论坛上，人们可以低至 800 美元（现汇率约合 5,377 元人民币）的价格购买 Hacktron 研究人员所用此类增强型网络账户的非法访问权限。