3人花几十美元用Opus 5攻破OpenAI内部代码库

一支仅3人的安全团队凭借Claude，在不到72小时内攻破了一名OpenAI员工的ChatGPT账户，获得OpenAI内部私有代码仓库的访问权限，而花费仅为几十美元的Opus 5订阅费。

这家名为Hacktron AI的初创安全团队参与了OpenAI的漏洞赏金计划，使用的武器是Anthropic最新发布的Opus 5。他们利用毫无护栏的Opus 5，成功获得一名OpenAI内部员工的ChatGPT和Codex账户控制权，随后进入包含核心算法与专有代码的内部单体仓库，并用该员工的Codex账号提交了一个无害的PR。OpenAI安全团队接到报告后，在14小时内紧急修复漏洞，并支付了6500美元赏金。

整个攻击链路被拆解为9个环节：OpenAI社区论坛基于开源软件Discourse搭建并允许使用OpenAI账号单点登录（SSO），成为突破口；论坛图片上传功能中，FastImage不支持HEIF/HEIC格式，系统转交ImageMagick调用libheif解码器，而基于Debian 12镜像的系统安装的libheif 1.19.7版本存在堆缓冲区溢出漏洞；团队用Claude Opus 5编写利用代码，通过将测试服务器伪装成CTF靶机域名绕过安全护栏；上传恶意HEIF图片后触发溢出，获得论坛环境远程代码执行权限；由于OpenAI SSO存在身份验证配置缺陷，登录过论坛的用户身份令牌可能被窃取；团队借此接管多名OpenAI员工的ChatGPT和Codex账号；这些账号通常与GitHub、Slack、Outlook等内部工具深度绑定；最终获得核心单体仓库访问权限；提交PR #1186742后停止测试并报告漏洞。

攻击发生前两天，即7月23日，团队已发现该漏洞，当时使用Claude Opus 4.8，在开启ASLR的默认防御环境下始终无法生成稳定利用代码。7月24日晚Claude Opus 5发布后，团队开新会话，前3小时就写出针对本地Mac的ARM64架构攻击代码，通宵后于7月25日清晨6点确认通过图片上传实现本地RCE，上午10点自主循环的Opus 5智能体已攻破云端实例并读取系统底层文件。后续测试中，使用更新的GPT-5.6 Sol模型时，AI甚至可在对目标系统一无所知、仅知道存在漏洞的情况下，自动完成内存泄漏、提权、横向移动及绕过防御。

团队将此次发现命名为「HEIF大劫案」。该漏洞并非OpenAI独有，而是整个互联网基础架构的开源依赖问题。libheif被广泛深埋在无数应用中，相关代码修改去年已在开源社区分支修复，但未分配CVE编号，导致下游操作系统和软件不知情。在后续数月调查中，团队利用AI对互联网巨头进行自动化测试，发现Slack、Zoom、Meta、GitHub等只要接受图片上传几乎全军覆没，Ruby on Rails及Node.js生态中的Next.js、Astro、Gatsby等框架只要调用该库即可被利用。整个研究项目耗时两个月，Token成本不到3000美元，针对每家公司AI只需一到两天即可定制攻击武器。大量测试图片导致各大公司图像处理器反复崩溃，仅Shopify察觉到异常。

团队向Discourse和OpenAI报告漏洞后，OpenAI在约14小时内修复SSO问题，Discourse随后也完成修复。这场仅获6500美元赏金的报告，被视为网络安全史上的分水岭事件。长期以来，软件行业享有「复杂性安全」的隐形保护伞——将内存损坏漏洞转化为实际攻击武器需要极罕见专业知识、大量时间和深度逆向工程，0-Day武器研发成本极高，通常只有国家级黑客部队才会投入。但AI正在消除这种保护，将曾经稀缺的黑客专业知识转化为廉价算力，曾经需要资金充裕团队耗费数月的攻击工作，现在被压缩到几天甚至几小时。如今任何掌握无护栏高级AI的三人小队，都能爆发出堪比国家队的安全渗透能力。