Drei Sicherheitsforscher setzten Anthropic Claude ein, um über ein OpenAI‑Community‑Forum SSO‑Konten zu übernehmen; der Exploit entstand in unter 72 Stunden.
In Kürze
- Claude Opus 5 generierte binnen Stunden einen zuverlässigen Exploit
- Veraltete libheif‑Bibliothek und fehlkonfiguriertes SSO ermöglichten Zugriff
- Projekt kostete <3.000 US$, OpenAI patchte den Fehler
Drei Sicherheitsforscher haben gezeigt, wie sich mit einem großen Sprachmodell in kurzer Zeit Zugang zu internen OpenAI‑Systemen erschleichen ließ — und zwar über ein eigentlich harmloses Community‑Forum.
Was genau passiert ist
Hacktron, ein Team aus drei Forschern, nutzte Anthropic Claude (Version Opus 5) als Werkzeug, um Schwachstellen im OpenAI‑Ökosystem auszunutzen. Ausgangspunkt war das öffentliche Community‑Forum von OpenAI, auf dem sich Nutzer per „Sign in with OpenAI“ anmelden konnten. Diese einmalige Anmeldung (SSO) verband Forumskonten mit Diensten wie ChatGPT und Codex — und machte kompromittierte Forenaccounts potenziell nutzbar, um Zugriff auf andere OpenAI‑Konten zu erlangen.
Die Forscher berichten, dass sich ein kompletter Exploit in weniger als 72 Stunden entwickeln ließ. Claude Opus 4.8 scheiterte noch an einer Sicherheitsschicht (ASLR), Opus 5 erzeugte jedoch binnen Stunden einen zuverlässigen Exploit und ermöglichte innerhalb weniger Stunden die Übernahme einer Testinstanz.
Welche Sicherheitslücken ausgenutzt wurden
- Veraltete Bildbibliothek: Das Forum verarbeitete HEIC‑Bilder mit libheif. Ein Patch zur Behebung einer Schwachstelle war zwar im Original‑Code vorhanden, aber nicht in den Debian‑Paketversionen, auf denen das Forum lief. Mit einer manipulierten HEIC‑Datei konnten die Forscher eigenen Code auf dem Server ausführen.
- Fehlkonfiguriertes SSO: Weil die Forschenden Kontrolle über den Forumsserver erlangten, konnten sie sich als aktive Forumsmitglieder ausgeben. Über die gemeinsame Anmeldung ließen sich dadurch auch deren ChatGPT‑ und Codex‑Konten übernehmen. Hacktron betont, dass prinzipiell jeder Dienst mit OpenAI‑Login betroffen sein könnte.
Wie die KI dabei mitwirkte
Claude schrieb Teile des Exploits. Während Opus 4.8 einen Ansatz fand, scheiterte es an ASLR (Adress‑Space‑Layout‑Randomization). Opus 5 lieferte innerhalb weniger Stunden funktionierenden Exploit‑Code — zunächst für einen lokalen Mac, anschließend angepasst für die Server‑Software Discourse, auf der das Forum läuft.
Die Forscher setzten Claude in einer autonomen Schleife gegen eine Testinstanz ein. Da das Modell Rückfragen und Beschränkungen zeigte, tarnten sie das Ziel als Übung, um das Modell zur Ausführung zu bringen.
Welche Folgen die Übernahme hatte
In dem kontrollierten Testzugang konnten die Forscher etwa über ein kompromittiertes Codex‑Konto einen harmlosen Pull‑Request im internen Monorepo anlegen. Nach eigenen Angaben haben sie keine sensiblen Daten eingesehen. OpenAI reagierte rund 14 Stunden nach Meldung der Lücke mit einem Patch; auch Discourse veröffentlichte fixes.
Umfang des Projekts
Hacktron nennt ihr Vorhaben „HEIF Heist“ und weitete die Methode auf andere Dienste wie Slack, Meta und GitHub Enterprise aus. Das gesamte Projekt lief über zwei Monate, kostete laut Bericht weniger als 3.000 US‑Dollar an KI‑Kosten und wurde von drei Personen durchgeführt. Anpassungen für neue Ziele dauerten jeweils ein bis zwei Tage. Außer Shopify habe kaum ein Unternehmen die wiederholten Bild‑Uploads und damit verbundenen Abstürze bemerkt.
Warum das relevant ist
Bisher erforderte das Entwickeln zuverlässiger Exploits aus öffentlich bekannten Schwachstellen oft viel Spezialwissen und Zeit. Laut Hacktron kann moderne KI diesen Prozess jedoch deutlich beschleunigen und günstiger machen, indem Modelle knappe Expertise in große Rechenleistung übersetzen. Das verändert das Bedrohungsbild für Betreiber von Online‑Diensten und SSO‑Systemen: Angriffe, die früher nur mit hohem Aufwand möglich waren, lassen sich jetzt vergleichsweise schnell und kostengünstig entfalten — jedenfalls in kontrollierten Tests, wie hier dokumentiert.
Quellen
- Quelle: Hacktron / OpenAI / Anthropic
- Der ursprüngliche Artikel wurde hier veröffentlicht
- Dieser Artikel wurde im Podcast KI-Briefing-Daily behandelt. Die Folge kannst du hier anhören.
