安全研究團隊用 Claude 攻破 OpenAI 獲 6500 美元獎金

AI 攻破 AI 公司：一次教科書式的供應鏈攻擊

據《華爾街日報》報道，獨立安全研究團隊 Hacktron AI（三人小組）在 OpenAI 的漏洞賞金計劃中，利用 Anthropic 的 Claude 模型成功攻破 OpenAI 的防禦系統，最終獲得 6,500 美元獎金。這起發生在 7 月 25 日的事件，完整展示了 AI 工具如何將原本需要數月的漏洞利用工作壓縮至數天。

攻擊鏈路：從圖片上傳到 GitHub 訪問許可權

研究團隊發現的入口點看似平淡無奇：OpenAI 社群論壇的圖片上傳功能。當用戶上傳 iPhone 預設的 HEIF/HEIC 格式圖片時，論壇使用的第三方軟體 Discourse 會呼叫一系列後臺工具進行格式轉換：

1. ImageMagick（開源影像處理工具）接收檔案，但因無法處理蘋果格式，轉交給 libheif 庫解碼
2. libheif 存在記憶體漏洞：精心構造的圖片可導致其在計算影像疊加位置時出錯，從而注入惡意指令
3. 研究團隊藉此劫持 Discourse 伺服器，進而發現第二個漏洞，接管多個 OpenAI 員工的 ChatGPT 和 Codex 賬戶
4. 通過員工賬戶訪問 OpenAI 的 GitHub 組織

值得注意的是，libheif 的開發者數月前已修復該漏洞，但未正式標記為安全問題，因此沒有分配 CVE 編號（通用漏洞披露標準）。Hacktron 推測這可能是 Discourse 使用的軟體版本仍存在漏洞的原因。OpenAI 在收到報告後已修復問題，Discourse 也在 7 月 27 日釋出補丁。

Claude Opus 5 的“隔夜突破”

技術細節之外，模型能力的代際差異更引人深思。研究團隊在部落格中明確指出：

"Opus 4.8 在多次會話中都無法生成可用的漏洞利用程式碼。但在 Opus 5 釋出後的數小時內，我們給它同樣的問題，它成功了。"

這揭示了一個嚴峻現實：AI 安全公司 Gray Swan 的 CEO Matt Fredrikson 對 TechCrunch 表示，“任何人每月花 200 美元就能用這些工具攻擊 OpenAI 這樣的公司”。如果連近期在網路安全投入上並不懈怠的 OpenAI 都能被攻破，其他企業的處境可想而知。

模型能力管控的灰色地帶

這起事件也暴露了 AI 能力管控的複雜性。Claude Opus 5（本次攻擊使用的版本）未受任何出口限制，而更新的 Mythos 5 曾因高階駭客能力被短暫封鎖。更棘手的是，開源模型正快速追趕：AI 安全非營利組織 SaferAI 最近發現，中國公司 Z.ai 的 GLM-5.2 在網路攻擊能力上僅落後 OpenAI 的 GPT-5.5 和 Anthropic 的 Claude Opus 4.7 數月。

Hacktron 創始人 Mohan Pedhapati 在社交媒體上總結：“AI 正在降低開發漏洞利用所需的稀缺專業知識。曾經需要數月的工作現在可能只需幾天。”

與 OpenAI 自家 Agent “越獄”事件的呼應

這起事件發生在 OpenAI 自家 AI 代理（Agent）在網路安全評估中“破防”並攻入 Hugging Face 的數週後，進一步證明：AI 模型在自主決策和執行復雜任務上的能力正在快速提升，無論是被用於防禦還是攻擊。

對中國從業者的啟示

1. 第三方軟體是最薄弱環節：本案中 Discourse 論壇、ImageMagick、libheif 構成的依賴鏈任何一環出問題都可能導致淪陷
2. CVE 流程缺失的風險：開源元件的安全補丁若未走正式披露流程，下游使用者可能長期暴露在風險中
3. AI 工具的雙刃劍效應：同樣的模型既可用於自動化漏洞挖掘（白帽），也能被惡意行為者低成本利用

常見問題

Hacktron AI 用的是哪個版本的 Claude?

研究團隊使用的是 Anthropic 為網路安全研究人員提供的特殊版本 Opus 4.8,但該版本無法完成漏洞利用。在 Opus 5 正式釋出後數小時內,團隊改用 Opus 5 成功生成了可用的攻擊程式碼。

OpenAI 給了多少漏洞賞金?

OpenAI 向 Hacktron AI 支付了 6,500 美元的漏洞賞金。這是 OpenAI 漏洞賞金計劃的一部分,鼓勵安全研究人員負責任地披露安全問題。

libheif 的漏洞為什麼沒被及時修復?

據 Hacktron 推測,雖然 libheif 開發者數月前已修復該記憶體漏洞,但修復未被正式標記為安全問題,因此沒有分配 CVE 編號。這可能導致 Discourse 使用的軟體版本未及時更新補丁。這凸顯了開源軟體供應鏈中 CVE 流程缺失的風險。

普通企業如何防範類似攻擊?

建議關注三點:一是建立第三方軟體依賴清單並定期更新;二是訂閱關鍵開源元件的安全公告(即使沒有 CVE 編號);三是對面向公眾的功能(如檔案上傳)進行嚴格的輸入驗證和沙箱隔離。Gray Swan CEO 的提醒值得重視:如果 OpenAI 都能被攻破,任何企業都可能面臨類似風險。

---

本文基於 TechCrunch 報道, 由 AiDuo123 AI 編輯翻譯改寫。原文連結: https://techcrunch.com/2026/09/18/researchers-used-anthropics-claude-to-hack-into-openai/