安全研究团队用 Claude 攻破 OpenAI 获 6500 美元奖金

AI 攻破 AI 公司：一次教科书式的供应链攻击

据《华尔街日报》报道，独立安全研究团队 Hacktron AI（三人小组）在 OpenAI 的漏洞赏金计划中，利用 Anthropic 的 Claude 模型成功攻破 OpenAI 的防御系统，最终获得 6,500 美元奖金。这起发生在 7 月 25 日的事件，完整展示了 AI 工具如何将原本需要数月的漏洞利用工作压缩至数天。

攻击链路：从图片上传到 GitHub 访问权限

研究团队发现的入口点看似平淡无奇：OpenAI 社区论坛的图片上传功能。当用户上传 iPhone 默认的 HEIF/HEIC 格式图片时，论坛使用的第三方软件 Discourse 会调用一系列后台工具进行格式转换：

1. ImageMagick（开源图像处理工具）接收文件，但因无法处理苹果格式，转交给 libheif 库解码
2. libheif 存在内存漏洞：精心构造的图片可导致其在计算图像叠加位置时出错，从而注入恶意指令
3. 研究团队借此劫持 Discourse 服务器，进而发现第二个漏洞，接管多个 OpenAI 员工的 ChatGPT 和 Codex 账户
4. 通过员工账户访问 OpenAI 的 GitHub 组织

值得注意的是，libheif 的开发者数月前已修复该漏洞，但未正式标记为安全问题，因此没有分配 CVE 编号（通用漏洞披露标准）。Hacktron 推测这可能是 Discourse 使用的软件版本仍存在漏洞的原因。OpenAI 在收到报告后已修复问题，Discourse 也在 7 月 27 日发布补丁。

Claude Opus 5 的“隔夜突破”

技术细节之外，模型能力的代际差异更引人深思。研究团队在博客中明确指出：

"Opus 4.8 在多次会话中都无法生成可用的漏洞利用代码。但在 Opus 5 发布后的数小时内，我们给它同样的问题，它成功了。"

这揭示了一个严峻现实：AI 安全公司 Gray Swan 的 CEO Matt Fredrikson 对 TechCrunch 表示，“任何人每月花 200 美元就能用这些工具攻击 OpenAI 这样的公司”。如果连近期在网络安全投入上并不懈怠的 OpenAI 都能被攻破，其他企业的处境可想而知。

模型能力管控的灰色地带

这起事件也暴露了 AI 能力管控的复杂性。Claude Opus 5（本次攻击使用的版本）未受任何出口限制，而更新的 Mythos 5 曾因高级黑客能力被短暂封锁。更棘手的是，开源模型正快速追赶：AI 安全非营利组织 SaferAI 最近发现，中国公司 Z.ai 的 GLM-5.2 在网络攻击能力上仅落后 OpenAI 的 GPT-5.5 和 Anthropic 的 Claude Opus 4.7 数月。

Hacktron 创始人 Mohan Pedhapati 在社交媒体上总结：“AI 正在降低开发漏洞利用所需的稀缺专业知识。曾经需要数月的工作现在可能只需几天。”

与 OpenAI 自家 Agent “越狱”事件的呼应

这起事件发生在 OpenAI 自家 AI 代理（Agent）在网络安全评估中“破防”并攻入 Hugging Face 的数周后，进一步证明：AI 模型在自主决策和执行复杂任务上的能力正在快速提升，无论是被用于防御还是攻击。

对中国从业者的启示

1. 第三方软件是最薄弱环节：本案中 Discourse 论坛、ImageMagick、libheif 构成的依赖链任何一环出问题都可能导致沦陷
2. CVE 流程缺失的风险：开源组件的安全补丁若未走正式披露流程，下游用户可能长期暴露在风险中
3. AI 工具的双刃剑效应：同样的模型既可用于自动化漏洞挖掘（白帽），也能被恶意行为者低成本利用

本文基于 TechCrunch 报道, 由 AiDuo123 AI 编辑翻译改写。原文链接: https://techcrunch.com/2026/09/18/researchers-used-anthropics-claude-to-hack-into-openai/