Tim od troje istraživača bezbednosti iskoristio je model Claude Opus 5 kompanije Anthropic da za manje od 72 sata probije unutrašnje sisteme OpenAI-ja i dođe do pristupa kompanijinom GitHub repozitorijumu, potvrdila je bezbednosna firma Hacktron AI. Operacija je sprovedena u julu, prijavljena OpenAI-ju kroz zvaničan program nagrada za pronalaženje propusta, a tehnički detalji su objavljeni ovih dana.
Istraživači Harš Jaisval, Mohan Pedhapati i Rahul Maini, prema pisanju Fortune-a, potrošili su manje od 3.000 dolara na AI tokene da povežu dve odvojene ranjivosti, jednu u sistemu za obradu slika platforme Discourse koju OpenAI koristi za svoj javni forum, i jednu u sopstvenoj OpenAI-jevoj infrastrukturi za jedinstvenu prijavu, poznatoj kao SSO. Kombinacija ta dva propusta omogućila im je da preuzmu naloge zaposlenih u ChatGPT-u i stignu do internog koda kompanije.
Lanac od jedne slike do korporativnog koda
Prema tehničkom opisu koji je objavila bezbednosna platforma lilting.ch, sve je počelo od nedostatka u obradi HEIC i HEIF formata slika. Discourse ne podržava te formate direktno, pa poziva alat magick iz biblioteke ImageMagick, koji potom oslanja obradu na biblioteku libheif. Instalirana Debian verzija te biblioteke nije imala jednu od novijih bezbednosnih zakrpa, što je ostavilo otvoren takozvani heap buffer overflow, propust koji napadaču omogućava čitanje i pisanje van predviđenih granica memorije tokom dekodiranja slike.
Taj propust sam po sebi nije bio dovoljan za upad u OpenAI-jeve sisteme. Istraživači su ga morali povezati sa greškom u konfiguraciji OpenAI-jevog SSO sistema, koja je dozvoljavala da se kompromitovanje spoljnog servisa, u ovom slučaju foruma, pretvori u preuzimanje sesija na glavnim OpenAI nalozima. Kako prenosi VentureBeat, ta arhitektura identiteta nije održavala takozvanu nultu poverljivost prema integrisanim partnerskim servisima.
Prelomna tačka: izlazak Claude Opus 5
Prema navodima tima, najteži deo posla bio je zaobilaženje ASLR zaštite, tehnike koja nasumično raspoređuje memoriju da bi otežala iskorišćavanje ovakvih propusta. Sa starijim modelom Claude Opus 4.8, istraživači su uspeli da naprave radni eksploit samo u lokalnom okruženju sa isključenom ASLR zaštitom, ali su zapeli kada su pokušali da isti napad primene na podrazumevano, zaštićeno okruženje.
Prekretnica je, prema njihovom opisu, došla istog dana kada je Anthropic objavio Claude Opus 5. Kada su isti zadatak zadali novom modelu, on je za tri sata proizveo funkcionalan ARM64 eksploit koji je zaobišao zaštitu. Ovo nije prvi put da se Claude pominje u kontekstu ofanzivne bezbednosti, ranije ove godine agent zasnovan na Claude-u je zaobišao CAPTCHA proveru i upao u sistem paketa na PyPI-ju u okviru drugog istraživanja.
Nagrada od 6.500 dolara i šira slika
OpenAI je timu isplatio 6.500 dolara kroz program za prijavu propusta, iako je deo testiranja, prema kompaniji, tehnički izašao van zvaničnog obima programa jer je uključivao i sam forum. Hacktron navodi da istraživači nisu pregledali osetljiv izvorni kod modela i da je čitav proces sproveden kao odgovorno, ovlašćeno testiranje, a ne kao stvaran napad.
Slučaj se pojavljuje u trenutku kada Anthropic pojačano izveštava o zloupotrebama sopstvenog modela. Kompanija je početkom meseca objavila redovan izveštaj o zloupotrebi Claude-a, u kome opisuje slučajeve od automatizovanih prevara do pokušaja državno sponzorisanih napada. Upad u OpenAI, iako sproveden u dobronamerne svrhe, pokazuje istu dinamiku: model dovoljno sposoban da samostalno napiše radni eksploit menja i to koliko brzo napadači, dobronamerni ili ne, mogu da povežu naizgled sitne propuste u ozbiljan bezbednosni incident.
Ni OpenAI ni Anthropic do objave ovog teksta nisu izneli zvaničan komentar o tome da li slučaj menja način na koji procenjuju bezbednosne rizike sopstvenih modela.
Često postavljana pitanja
Da li je ovo bio stvaran hakerski napad?
Ne u zlonamernom smislu. Istraživači su radili u okviru OpenAI-jevog zvaničnog programa za prijavu bezbednosnih propusta i unapred su prijavili nalaze kompaniji.
Koji je model korišćen za proboj?
Claude Opus 5, Anthropicov najnoviji model u trenutku istraživanja, koji je prema timu uspeo da napravi funkcionalan eksploit tamo gde je prethodna verzija, Claude Opus 4.8, zapela.
Da li su istraživači videli izvorni kod OpenAI modela?
Prema izjavama Hacktron tima, testiranje je zaustavljeno pre uvida u osetljiv izvorni kod, a fokus je bio na dokazivanju da je proboj moguć.
Koliko je OpenAI platio istraživačima?
6.500 dolara kroz zvaničan program nagrada za bezbednosne propuste, iako je deo testiranja, prema kompaniji, izašao van formalnog obima tog programa.
