3人用Claude攻破OpenAI内部代码仓库

一个只有3人的安全研究小组HacktronAI，用不到72小时从OpenAI社区论坛打进了内部代码仓库。

攻击起点是OpenAI基于Discourse搭建的开发者论坛。7月23日，团队发现论坛图片上传流程中，HEIC/HEIF格式图片会被转交给ImageMagick处理，其底层依赖的libheif存在堆缓冲区溢出漏洞。该漏洞上游一年前已修复，但未被标记为安全相关，也未分配CVE编号，导致Discourse所用Debian 12镜像中的libheif仍存在漏洞。三人构造恶意HEIF文件上传，在论坛服务器上实现远程代码执行。

随后，他们利用OpenAI SSO单点登录的身份验证缺陷，接管了曾登录论坛用户的ChatGPT和Codex账号，包括OpenAI员工。部分账号关联了Outlook、Gmail、Google Drive、Slack、GitHub等外部服务。团队通过一名已连接OpenAI GitHub组织的员工账号，向内部monorepo提交了一个无害PR以证明攻击真实性，全程未阅读任何内部代码。团队强调，该SSO漏洞并非Discourse特有，任何使用OpenAI SSO的服务被攻破都会导致同样后果。

AI在攻击中扮演关键角色。团队先用Claude Opus 4.8审查Docker镜像，成功发现libheif未回移的安全修复并构建了部分可用的漏洞利用程序，但在ASLR环境下无法生成稳定exploit。7月24日Claude Opus 5发布后，团队改用新版本，3小时内产出ARM64可用exploit，随后移植到x86-64和jemalloc配置。7月25日凌晨6点确认本地远程代码执行。之后Claude在自主循环模式下，通过将目标伪装成CTF靶机绕过限制，于上午10点前在Discourse Cloud上获得代码执行权限。

在后续HEIF Heist研究中，团队历时两个月覆盖Slack、Meta、GitHub Enterprise等目标，token成本不到3000美元，将exploit适配到新目标通常只需一两天。团队观察到每代新模型能力提升明显：Opus 4.8反复失败的任务Opus 5几小时解决，GPT-5.6 Sol在未知环境盲打时适应能力更强。

漏洞报告后，OpenAI约14小时修复SSO问题；Discourse周日回复、周一准备补丁并沙箱隔离ImageMagick，7月28日发布安全公告。9月1日OpenAI结算6500美元赏金，针对SSO发现。libheif漏洞影响范围远超OpenAI，波及Slack、Meta、GitHub Enterprise、Ruby on Rails及Next.js、Astro、Gatsby等Node.js框架。任何接受用户上传HEIC、HEIF或AVIF图片并进行服务端处理的应用都可能存在风险。整个研究过程中，除Shopify外没有任何公司检测到攻击活动。

三人、不到3000美元AI算力成本、72小时攻破OpenAI服务器。软件行业长期依赖的“复杂性即安全”正在失效——AI正将稀缺的专业能力转化为可购买的算力，曾经需要资深团队数月完成的工作，现已压缩到几天。