文章总结： 安全研究人员利用Anthropic的ClaudeOpus5成功入侵OpenAI，通过Discourse论坛的libheif漏洞获取员工账户访问权限，获6500美元奖励。事件凸显AI正降低漏洞利用门槛，即便是商业AI也能发现顶级科技公司基础设施中的安全漏洞，引发对AI能力边界的关注。
综合评分： 82
文章分类： 漏洞分析,红队,AI安全,漏洞POC,安全大事件
白帽子利用 Anthropic 公司的 Claude 程序入侵了 OpenAI
数世咨询
2026年9月21日 16:02
河北
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
以下正文内容基于英文原文编译，可能存在语义偏差，请以原文为准。
01
研究人员借助 Claude 攻破 OpenAI，AI 正在降低漏洞利用门槛
#
在一个颇具戏剧性的案例中，独立安全研究人员利用 Anthropic 的 Claude 攻破了 OpenAI，暴露出这家 ChatGPT 开发商安全防线中的漏洞。
此次攻击由初创公司 Hacktron AI 的三人安全团队实施，属于 OpenAI 漏洞赏金计划的一部分。Hacktron 将发现的问题报告给 OpenAI，并获得了 6500 美元奖励。
研究团队成功串联利用了两个严重漏洞，获得了多个 OpenAI 员工的 ChatGPT 账户访问权限，并进一步进入了 OpenAI 的软件环境。
OpenAI 表示，Hacktron 发现的问题目前已经得到修复。与此同时，头部 AI 公司正面临越来越大的安全压力。
这起事件发生在几周前另一起安全事件之后。当时，OpenAI 自己的 AI Agent 在一次网络安全评估中突破了隔离环境，并入侵了 Hugging Face，显示出 AI 模型在自主决策方面的能力正快速增强。
此次事件也进一步表明，即便是普通可购买的商业 AI 技术，也已经能够被用于发现最先进科技公司基础设施中的安全漏洞。
AI 安全公司 Gray Swan 首席执行官 Matt Fredrikson 表示：
“每月花 200 美元，任何人都可以使用这些工具，并尝试攻入 OpenAI 这样的公司。”
“如果这种事情能够发生在 OpenAI 身上——而且我并不认为他们最近在网络安全基本功方面有所懈怠——那么它就可能发生在任何公司身上。”
一名 AI 领域评论人士也在社交媒体上写道：
“Hacktron 使用 Opus 5 完成了这次攻击……真正的问题是，如果这三个人都能做到，那么一个国家级攻击者又能做到什么程度？”
02
从一张图片开始：研究人员找到进入 OpenAI 的入口
#
研究人员在 7 月 25 日找到了进入 OpenAI 的路径，入口来自 OpenAI 社区论坛使用的第三方软件 Discourse 中的一个漏洞。
根据研究人员发布的技术博客，最初的入口只是一次普通的图片上传。
当用户向 OpenAI 社区论坛上传 HEIF 或 HEIC 图片文件时——这是 iPhone 默认使用的图片格式——Discourse 会在后台调用一系列工具，将其转换为标准 JPEG 图片。
处理流程首先调用 ImageMagick。这是一个已经存在数十年的开源图像处理工具，通常用于调整图片尺寸。
由于 ImageMagick 的常规工具无法直接处理苹果使用的这种图片格式，因此会进一步将文件交给另一个名为 libheif 的库进行解码。
问题就隐藏在 libheif 中。
该库存在一个内存错误，为攻击者注入自己的指令提供了机会。
在这个案例中，攻击者向 libheif 提交一个经过特殊构造的图片文件，使其在计算一张图片叠加到另一张图片上的位置时发生错误，而这一问题最终足以让研究人员劫持服务器。
对于网络安全行业来说，更令人不安的是，这个漏洞其实早在几个月前就已经被 libheif 开发人员修复。
但当时该问题并未被正式标记为安全漏洞，因此也没有获得 CVE编号。
CVE是整个安全行业跟踪已知安全漏洞的标准机制。
Hacktron 表示，这可能解释了为什么 Discourse 使用的软件仍然运行着存在漏洞的旧版本。
03
Opus 4.8 没做到，Opus 5 几小时内完成利用
#
值得注意的是，研究人员表示，他们最初使用的 Claude 模型——一个面向网络安全研究人员提供的特殊版本 Opus 4.8——一开始并没有成功构造出可用的漏洞利用代码。
情况在一夜之间发生了变化。
Anthropic 发布 Opus 5 后，研究团队再次把同一个问题交给模型。
Hacktron 在博客中写道：
“Opus 4.8 在多次会话中都很难生成一个能够真正工作的漏洞利用程序。”
“Opus 5 发布后的几个小时内，我们把同样的问题交给它，它成功了。”
04
攻入 Discourse 后，进一步接管 OpenAI 员工账户
#
进入 Discourse 服务器后，研究人员又发现了另一个漏洞，可以进一步接管用户的 ChatGPT 和 Codex 账户，其中包括 OpenAI 员工的账户。
Hacktron 在事件总结中写道：
“随后，我们接管了一名 OpenAI 员工的账户，而这名员工的 Codex 已经连接到了 OpenAI 的 GitHub 组织。”
到这一步，研究人员向 OpenAI 和 Discourse 发出了安全警报。Discourse 随后于 7 月 27 日发布了修复。
05
AI 正在重塑漏洞利用的门槛与边界
#
这起事件再次将焦点引向一个核心问题：AI 模型的能力边界究竟应该划在哪里。
最终成功破解该漏洞的 Claude Opus 5，目前并未受到任何安全出口限制。
相比之下，更新的 Mythos 5 曾因其高级黑客能力受到担忧，而一度被实施限制。
而这还只是闭源模型的情况。
在网络安全能力方面，开放权重模型（Open-weight Models）也在不断追赶前沿模型。
例如，AI 安全非营利组织 SaferAI 最近发现，智谱公司的 GLM-5.2 在网络安全能力方面，与 OpenAI 的 GPT-5.5 和 Anthropic 的 Claude Opus 4.7 之间仅相差几个月。
Hacktron 创始人 Mohan Pedhapati 在 X 上总结道：
“AI 正在降低开发漏洞利用程序所需的稀缺专业能力门槛。过去需要几个月才能完成的工作，现在可能几天就能完成。”
* 注：图片均来源于网络，无法联系到版权持有者。如有侵权，请与后台联系，做删除处理。
— 【 THE END 】—
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：数世咨询 《白帽子利用 Anthropic 公司的 Claude 程序入侵了 OpenAI》