Исследователи с помощью Claude Opus 5 добрались до внутреннего кода OpenAI
Три исследователя с помощью Claude Opus 5 за трое суток добрались до внутреннего кода OpenAI, потратив на токены меньше 3 000 долларов.
Три исследователя с помощью Claude Opus 5 за трое суток и меньше чем за 3 000 долларов прошли путь от загрузки картинки на форум OpenAI до её внутреннего репозитория с кодом.
Почему это важно: сборку цепочек взлома всё чаще берёт на себя ИИ. Под ударом оказываются не сами модели, а привычная инфраструктура вокруг них — единый вход, форумы, почта и подключённые сервисы.
Повод: доказательством стал безобидный запрос на слияние кода в закрытом монорепозитории openai/openai. Его от имени взломанного сотрудника открыл его же Codex — агент OpenAI для программирования.
Детали: началось с картинки в формате HEIC, загруженной на форум OpenAI. Движок форума Discourse1 обрабатывал её через уязвимую библиотеку и запускал чужой код. Дальше сработал единый вход: форум, ChatGPT и Codex доверяли одному входу, поэтому захват форума открыл аккаунты сотрудников. От них через привязанный GitHub исследователи дошли до внутренних репозиториев.
Интрига: прошлая модель Anthropic, Opus 4.8, несколько сессий не могла собрать рабочий эксплойт. Через несколько часов после выхода Opus 5 команда дала ей ту же задачу — и модель справилась.
В цифрах: масштаб атаки:
- меньше 72 часов ушло от первого взлома до доступа к внутреннему коду;
- меньше 3 000 долларов стоили все токены за двухмесячную кампанию против разных компаний;
- 6 500 долларов OpenAI выплатила команде премией 1 сентября.
«Реалистичная модель угроз должна учитывать экономику эксплуатации уже сегодня»
из разбора команды Hacktron
Но: исследователи не читали исходный код, ничего не сливали и не трогали данные пользователей. Доступ они показали единственным запросом на слияние.
Другая сторона: OpenAI закрыла дыру примерно за 14 часов после сообщения, урезала права токенов входа с форума и отозвала затронутые сессии. Как был устроен изъян во входе, компания публично не описала.
Урок команды не в том, что «ИИ-взлом — это страшно», а в том, что автоматическая сборка цепочек эксплойтов уже работает против обычных мест склейки сервисов.