两名黑客 72 小时攻破 OpenAI 员工账号，还向内部代码库提 PR 证明

nptacek · x · 2026-09-18

黑客团队 S1r1u5 公开宣称，7 月 25 日利用两个漏洞劫持了 OpenAI 员工（及部分外部用户）的 ChatGPT/Codex 账号，并进一步接触到关联的 Outlook、Slack、GitHub 等内部服务，全程耗时不到 72 小时。为证明攻击成功，他们甚至向 OpenAI 内部代码库提交了一个 PR。

转发评论还调侃：被利用的漏洞恰好与一幅著名 xkcd 漫画提到的第三方依赖库有关——「预言成真」。这类供应链/依赖库安全问题再次暴露，即便是顶级 AI 公司也难以幸免。