三名研究员用 Claude Opus 5 攻入 OpenAI 内部代码库

三名来自 Hacktron AI 的独立安全研究员在 OpenAI 漏洞赏金安全港框架下，使用 Anthropic 的 Claude Opus 5 于约 72 小时内、花费不到 3000 美元 API 代币攻入 OpenAI 内部系统，接管员工账号并触达私有代码库，全程按负责任披露流程上报，OpenAI 支付 6500 美元赏金，未造成实际损失。这是 LLM 作为渗透测试助手显著放大真实攻击效率的公开案例，也引发对 AI 公司自身安全与治理的广泛讨论。

已确认

• 据 WSJ 报道（多条帖子转述），三名来自 Hacktron AI 的研究员（据 deedydas 介绍为 Rahul Maini、Mohan Pedhapati 和 Harsh Jaiswal，账号含 rootxharsh、S1r1u5、iamnoooob，均无名校与大厂背景）借助 Claude Opus 5 攻入一名 OpenAI 员工的 Codex/ChatGPT 账号，进而读取并可建议修改 OpenAI 私有软件缓存。据 YuchenjUW 补充，攻击耗资不到 3000 美元代币，被攻陷员工的 Codex 在 OpenAI 内部 monorepo 中提交了一个 PR。
• 团队复盘称，2026 年 7 月 25 日他们利用两个漏洞链完成攻击：其一涉及 libheif 图像解码器的堆溢出漏洞——OpenAI 社区论坛 community.openai.com 所用 Discourse 仍在打包一个已被上游修复、但未被标记为安全修复的旧版 libheif，上传一张恶意 HEIF 图即可在论坛执行代码；另一涉及 Discourse 系统的 SSO/认证环节。据 ChrisGPT 与 rohanpaulai 转述，研究员在 Discourse 服务器上拿到认证令牌后，确认同一凭据也适用于该员工的 ChatGPT 与 GitHub 访问，并串联成完整攻击链。
• Hacktron 创始人 S1r1u5 与安全从业者 Joshua Saxe 讨论时表示，其利用漏洞接管了 OpenAI 员工（及部分外部用户）的 ChatGPT/Codex 账号，进而触达 Outlook、Slack、GitHub 等关联服务，72 小时内拿到整个代码库访问权；但他同时强调这不代表他们懂得如何保护如此复杂的组织，OpenAI 内部有经验更丰富的安全团队。该团队还表示理论上任何 ChatGPT 连接器（Slack、GitHub 等）均可能受影响（ChengleiSi 转述）。另据 tszzl 转述，rootxharsh 公布的「HEIF Heist」长线研究显示 libheif 相关漏洞还波及 Slack、Meta、GitHub 等广泛平台。
• 研究员在未翻阅私有内容的前提下按负责任披露流程上报，OpenAI 支付 6500 美元赏金（ChrisGPT）。Hacktron 博客随后发布《Hacking OpenAI》一文公开完整复盘。卫报、NBC 等主流媒体跟进报道，YouTuber Wes Roth 亦在节目中拆解该事件。

尚未确认

• teortaxesTex 与 nptacek 转述 Andrew Curran 的说法，称攻击者疑似拿到了网络护栏被放宽的 Opus 5 版本，此点未获其他信源证实。
• ns123abc 预测该事件将被用作「国家安全」理由、推动对开源权重模型的许可管制，属个人观点而非事实。另有帖子出现「Opus 4.8」等版本号表述，与主流报道的 Opus 5 存在出入。

为什么重要

• 多位帖子作者指出，这是 LLM 在信息收集与漏洞利用链构建中实际威力的公开案例；Sneha Revanur 转述 WSJ 称三人拿到的是 OpenAI 的算法机密而非模型权重，并借此质疑对国家级威胁行为者的既有叙述。
• 安全从业者 Joshua Saxe 复盘指出「黑客精英化正被迅速平权」，并追问有多少国家级攻击者早已渗透得更深而未被察觉。YuchenjUW 也强调成本与效率之低值得关注。
• GaryMarcus 转述法律从业者 justanotherlaw 的观点：仅凭 Claude 与 Codex 两项订阅、两天时间即可获得 OpenAI monorepo 写权限，说明顶尖 AI 公司自身的账号与供应链安全同样脆弱，也引发对「用 A 家模型攻破 B 家」及 AI 安全治理的讨论。前 OpenAI 政策负责人 Miles Brundage 则讽刺 OpenAI「为抬高 IPO 估值故意让自己被黑」。
• libheif 这类被广泛打包的基础图像库一旦漏洞未被及时标记为安全修复，可能在大范围平台（OpenAI、Slack、Meta 等）形成系统性风险，「HEIF Heist」研究的披露放大了这一供应链层面的警示。

2026-09-18 ~ 2026-09-19 · 59 条相关

事件全程(共 4 集)→

• 第 1 集:三名研究员用 Claude Opus 5 攻入 OpenAI 内部代码库(2026-09-18,59 条)
• 第 2 集:三人72小时链式攻破OpenAI账号，6500美元赏金引众怒(2026-09-18,19 条)
• 第 3 集:Lambert：闭源模型才是 AI 风险冰山之尖(2026-09-18,6 条)
• 第 4 集:OpenAI 漏洞披露风波：CISO 被曝欲起诉研究者后道歉(2026-09-19,14 条)

• 三人凭 Claude 与 Codex 订阅两日摸进 OpenAI monorepo 获写权限 — GaryMarcus · 2026-09-18
• 【源头】三研究员借 Discourse 漏洞摸进 OpenAI 私有 Monorepo,获 6500 美元赏金 — ChrisGPT · 2026-09-18
• 安全团队用 Claude 拿到 OpenAI 员工账号,触及私有代码库 — EthanJPerez · 2026-09-18
• 传三名黑客用「松绑版」Opus 5 入侵 OpenAI 内部代码库 — teortaxesTex · 2026-09-18
• 安全老兵复盘 WSJ 揭露的 AI 渗透 OpenAI 内网事件：黑客精英化正被迅速平权 — joshua_saxe · 2026-09-18
• 【源头】独立安全研究员用 Claude 竟攻入 OpenAI,复盘细节公开 — ResultBackground2450 · 2026-09-18
• 曝三名研究员用 Claude Opus 5 攻破 OpenAI 员工 Codex 账号 — EthanJPerez · 2026-09-18
• 两个漏洞攻破 OpenAI 内部系统,72 小时拿到整个代码库访问权 — JeffLadish · 2026-09-18
• 【源头】用不到 3000 美元代币，Claude Opus 5 数小时攻破 OpenAI 内部仓库 — Yuchenj_UW · 2026-09-18
• 三个「订阅 Claude 和 Codex 的哥们」竟攻进 OpenAI 单体代码库 — GarrisonLovely · 2026-09-18
• 三人组 72 小时黑进 OpenAI 内部仓库,安全竞速论遭质疑 — trevposts · 2026-09-18
• 安全团队称曾攻破多名 OpenAI 员工 ChatGPT 账号,连接器均受影响 — ChengleiSi · 2026-09-18
• WSJ 称三人+Claude/Codex 窃得 OpenAI 算法机密，非模型权重 — trevposts · 2026-09-18
• 三人用 Opus 5 放宽护栏版攻入 OpenAI 内部代码库 — nptacek · 2026-09-18
• 三人用 Claude+Codex 两天摸进 OpenAI monorepo 获写权限 — andersonbcdefg · 2026-09-18
• Miles Brundage 讽刺 OpenAI 遭入侵是「为 IPO 估值故意放水」 — Miles_Brundage · 2026-09-18
• 安全研究员据称用 Claude 入侵 OpenAI 员工的 ChatGPT 账号 — Polymarket · 2026-09-18
• 团队用 Claude 入侵 OpenAI 沙箱盗取代码,WSJ 曝光重大安全事件 — ChengleiSi · 2026-09-18
• 安全团队串联堆溢出与SSO漏洞,攻入OpenAI内部代码仓库 — robleclerc · 2026-09-18
• HEIF Heist:一个图像解析漏洞波及OpenAI、Slack、Meta、GitHub — Miles_Brundage · 2026-09-18
• 三名研究员用 Claude Opus 5 挖漏洞,触及 OpenAI 私有代码 — rohanpaul_ai · 2026-09-18
• 黑客发现同一图像解析器漏洞波及 Slack、GitHub、Meta 等多家公司 — Miles_Brundage · 2026-09-18
• 黑客借社区论坛 RCE 与 SSO 漏洞,一路打穿 OpenAI 内部 GitHub 仓库 — paul_cal · 2026-09-18
• 三人用 Opus 入侵 OpenAI,评论忧成收紧开源权重新借口 — ns123abc · 2026-09-18
• 三名印度工程师用 Opus 5 两天破解 OpenAI,成本不到 3000 美元 — deedydas · 2026-09-18
• 三名研究员用 Claude 72 小时攻入 OpenAI 内部仓库，赏金仅 $6500 引争议 — 机器之心 · 2026-09-18
• 网安团队用 Opus 5 入侵 OpenAI,研究者称此事意义重大 — kimmonismus · 2026-09-18
• 一张 HEIF 图片攻入 OpenAI：论坛漏洞直通内部 GitHub — jedisct1 · 2026-09-18
• 「Hacking OpenAI」：一篇拆解 OpenAI 安全攻防的实战文章 — boppinmule · 2026-09-18
• 研究者借 Claude 助攻渗透 OpenAI，多员工账号沦陷 — nordicinst · 2026-09-18
• 三名研究员花不到3000美元 AI 代币攻入 OpenAI 员工 ChatGPT 账号 — TechNadu · 2026-09-18
• libheif RCE 加 SSO 弱点：从一张图片到 OpenAI 内网权限 — TechNadu · 2026-09-18
• 曝 Claude 被用于攻击 OpenAI，AI 公司互黑引关注 — Loo_Atreides · 2026-09-18
• 卫报:OpenAI 曾遭「道德黑客」测试,Anthropic Claude 参与协助 — itsxzy · 2026-09-18
• libheif 堆溢出加 SSO 配置失误：恶意图片可打到 OpenAI 内部账号 — ccerrato147 · 2026-09-18
• OpenAI 单一 SSO 打通所有系统，攻陷论坛即拿到「王国钥匙」 — ccerrato147 · 2026-09-18
• 数千张恶意图片打崩 OpenAI 图像处理器，全程无告警无异常检测 — ccerrato147 · 2026-09-18
• 72 小时从公开图片上传打进 OpenAI 内部 monorepo，研究者主动收手 — ccerrato147 · 2026-09-18

另有 12 条近重复转述:Miles_Brundage · rohanpaul_ai · dotey · tszzl · deedydas · jedisct1 · eli_lifland · 量子位 · Expert_Annual_19 · JacquesThibs · itsxzy · ccerrato147