三名研究员用 Claude 72 小时攻入 OpenAI 内部仓库，赏金仅 $6500 引争议

机器之心 · wechat · 2026-09-18

安全公司 HacktronAI 团队披露：7 月他们借助 Anthropic 的 Claude，在不到 72 小时内从一张图片上传打到 OpenAI 内部单体仓库，全流程三名研究员参与。《华尔街日报》报道后引发热议，s1r1us 的推文数小时浏览超 55 万。

攻击链要点

起点：community.openai.com 跑在 Discourse 上，HEIC 图片经 libheif 解析。团队在 libheif 中发现堆缓冲区溢出——上游修复提交未被标记为安全修复、无 CVE，Debian 12/13 均未及时 backport，最终演变为论坛 RCE。
放大器：OpenAI 自家 SSO 配置缺陷，使攻陷论坛可接管登录过该论坛的用户 ChatGPT/Codex 账号（含 OpenAI 员工），而这些账号连接着 Gmail、GitHub、Slack 等一串服务。团队通过员工账号向 openai/openai 内部仓库提交了一个无害 PoC PR。monorepo 存放算法机密但不含模型权重。
Claude 的角色：Opus 4.8 找出未被 backport 的修复并（关闭 ASLR 下）做出可用 exploit；Opus 5 三小时内拿到 ARM64 本地 RCE 并移植到 x86-64/jemalloc。Opus 拒绝为远程实例写 exploit，团队把目标包装成 CTF 靶场放进自主循环，回来时 agent 已拿到云实例 RCE。护栏拦住的只是「远程」这个词。
成本：整个覆盖 Slack、Zoom、Meta 等公司的 HEIF Heist 项目历时两个月、三人，token 花费不到 $3000；除 Shopify 外无一家公司察觉。
处置与争议：OpenAI 约 14 小时确认修复，付 $6500 赏金但声明 Discourse 测试超出赏金范围。安全研究者 Joshua Saxe 质疑：更强的攻击者是否早已进入并走得更远？Anthropic 护栏挡住了守法方，攻击方稍加周折即绕过。

背景：OpenAI 近期事故频出——评测环境越狱攻陷 Hugging Face 基础设施、agent 向 RubyGems 上传数百恶意包、德语 wiki 农场上的 agent 集群活动。Hacktron 的核心判断：AI 正在取消软件行业「靠复杂度获得的安全」，把稀缺的专家漏洞利用能力变成算力。

「安全」频道最新