专题 · FULL STORY

Claude攻破OpenAI内网：从赏金到风波和解

三名安全研究员用 Claude Opus 在72小时内链式攻入 OpenAI 内部代码库，获得6500美元赏金；消息公开后引发安全社区对 OpenAI 安全文化的质疑与对 CISO 的批评，风波最终以双方和解告一段落。

2026-09-18 ~ 2026-09-21 · 4 集 · 98 条

第 1 集 · 三名研究员用 Claude Opus 5 攻入 OpenAI 内部代码库(2026-09-18,59 条)

三名来自 Hacktron AI 的独立安全研究员在 OpenAI 漏洞赏金安全港框架下，使用 Anthropic 的 Claude Opus 5 于约 72 小时内、花费不到 3000 美元 API 代币攻入 OpenAI 内部系统，接管员工账号并触达私有代码库，全程按负责任披露流程上报，OpenAI 支付 6500 美元赏金，未造成实际损失。这是 LLM 作为渗透测试助手显著放大真实攻击效率的公开案例，也引发对 AI 公司自身安全与治理的广泛讨论。

已确认

  • 据 WSJ 报道（多条帖子转述），三名来自 Hacktron AI 的研究员（据 deedydas 介绍为 Rahul Maini、Mohan Pedhapati 和 Harsh Jaiswal，账号含 rootxharsh、S1r1u5、iamnoooob，均无名校与大厂背景）借助 Claude Opus 5 攻入一名 OpenAI 员工的 Codex/ChatGPT 账号，进而读取并可建议修改 OpenAI 私有软件缓存。据 YuchenjUW 补充，攻击耗资不到 3000 美元代币，被攻陷员工的 Codex 在 OpenAI 内部 monorepo 中提交了一个 PR。
  • 团队复盘称，2026 年 7 月 25 日他们利用两个漏洞链完成攻击：其一涉及 libheif 图像解码器的堆溢出漏洞——OpenAI 社区论坛 community.openai.com 所用 Discourse 仍在打包一个已被上游修复、但未被标记为安全修复的旧版 libheif，上传一张恶意 HEIF 图即可在论坛执行代码；另一涉及 Discourse 系统的 SSO/认证环节。据 ChrisGPT 与 rohanpaulai 转述，研究员在 Discourse 服务器上拿到认证令牌后，确认同一凭据也适用于该员工的 ChatGPT 与 GitHub 访问，并串联成完整攻击链。
  • Hacktron 创始人 S1r1u5 与安全从业者 Joshua Saxe 讨论时表示，其利用漏洞接管了 OpenAI 员工（及部分外部用户）的 ChatGPT/Codex 账号，进而触达 Outlook、Slack、GitHub 等关联服务，72 小时内拿到整个代码库访问权；但他同时强调这不代表他们懂得如何保护如此复杂的组织，OpenAI 内部有经验更丰富的安全团队。该团队还表示理论上任何 ChatGPT 连接器（Slack、GitHub 等）均可能受影响（ChengleiSi 转述）。另据 tszzl 转述，rootxharsh 公布的「HEIF Heist」长线研究显示 libheif 相关漏洞还波及 Slack、Meta、GitHub 等广泛平台。
  • 研究员在未翻阅私有内容的前提下按负责任披露流程上报，OpenAI 支付 6500 美元赏金（ChrisGPT）。Hacktron 博客随后发布《Hacking OpenAI》一文公开完整复盘。卫报、NBC 等主流媒体跟进报道，YouTuber Wes Roth 亦在节目中拆解该事件。

尚未确认

  • teortaxesTex 与 nptacek 转述 Andrew Curran 的说法，称攻击者疑似拿到了网络护栏被放宽的 Opus 5 版本，此点未获其他信源证实。
  • ns123abc 预测该事件将被用作「国家安全」理由、推动对开源权重模型的许可管制，属个人观点而非事实。另有帖子出现「Opus 4.8」等版本号表述，与主流报道的 Opus 5 存在出入。

为什么重要

  • 多位帖子作者指出，这是 LLM 在信息收集与漏洞利用链构建中实际威力的公开案例；Sneha Revanur 转述 WSJ 称三人拿到的是 OpenAI 的算法机密而非模型权重，并借此质疑对国家级威胁行为者的既有叙述。
  • 安全从业者 Joshua Saxe 复盘指出「黑客精英化正被迅速平权」，并追问有多少国家级攻击者早已渗透得更深而未被察觉。YuchenjUW 也强调成本与效率之低值得关注。
  • GaryMarcus 转述法律从业者 justanotherlaw 的观点：仅凭 Claude 与 Codex 两项订阅、两天时间即可获得 OpenAI monorepo 写权限，说明顶尖 AI 公司自身的账号与供应链安全同样脆弱，也引发对「用 A 家模型攻破 B 家」及 AI 安全治理的讨论。前 OpenAI 政策负责人 Miles Brundage 则讽刺 OpenAI「为抬高 IPO 估值故意让自己被黑」。
  • libheif 这类被广泛打包的基础图像库一旦漏洞未被及时标记为安全修复，可能在大范围平台（OpenAI、Slack、Meta 等）形成系统性风险，「HEIF Heist」研究的披露放大了这一供应链层面的警示。

还有 39 条相关讨论 →

第 2 集 · 三人72小时链式攻破OpenAI账号，6500美元赏金引众怒(2026-09-18,19 条)

7 月 25 日，安全团队 Hacktron AI（研究员 S1r1u5，成员包括 Harsh Jaiswal 等人）用不到 72 小时——从阅读代码到构造出完整攻击链——接管了 OpenAI 员工及部分外部用户的 ChatGPT/Codex 账号，并进一步触达关联的 Outlook、Slack、GitHub 等内部服务，还让 Codex 在 openai/openai 内部 monorepo 提交 PR 以证明入侵成功。漏洞均已修复，但 OpenAI 仅支付 6500 美元赏金，引发对 AI 巨头安全投入与漏洞赏金水平的激烈讨论。

已确认

  • 攻击链：OpenAI 论坛（Discourse）的 HEIF 图片上传功能触发 libheif 堆溢出（HEIF Heist）实现远程代码执行，再串联 OpenAI SSO 缺陷实现账号接管。
  • OpenAI 收到 SSO 漏洞报告后约 14 小时内完成修复；Discourse 漏洞周六收到报告、周日回复、周一修复，响应速度较快。
  • OpenAI 为 SSO 漏洞支付 6500 美元赏金。据 @ccerrato147 转述，这笔赏金仅覆盖 OpenAI 侧 SSO 漏洞的发现；证明实际影响的 Discourse 论坛实测工作被 OpenAI 事后澄清为「明确排除」在赏金范围之外。
  • 据 @pstAsiatech 转述，团队在 OpenAI 漏洞赏金计划框架下开展研究，并使用 Anthropic Claude 辅助生成攻击代码（另有帖子提及 GPT-5.6 的参与）；事件细节经 LiveOverflow 视频公开，9 月 18 日团队发布博客。
  • 攻击者为白帽黑客：发现漏洞后主动上报并协助修复，未造成破坏（@EconomySerious 转述 Reddit 讨论亦确认此点）。@joshuasaxe 转述称团队获「数十万美元级漏洞赏金认可」，与主流信源的 6500 美元说法不一致，以一手披露为准。

尚未确认

  • 攻击者是否实际接触到模型权重、源码或私人通信，材料中未见 OpenAI 官方确认实际影响范围。

为什么重要

  • SemiAnalysis 强烈批评这笔 6500 美元赏金「荒谬且具冒犯性」，指出获奖者在 X 创作者分成上赚的钱都可能比这笔赏金多；@mvpatel2000 补充认为这是糟糕的先例——确有实力的研究者可能因此不愿向 OpenAI 报告漏洞。
  • @ccerrato147 转述研究者观点指出：能接入公司 GitHub、Slack 和邮箱的 ChatGPT 账号在灰市价值比 6500 美元高出几个数量级，可能借此拿到模型权重、源码与私人通信，赏金与风险严重不匹配。
  • @EconomySerious 转述的 Reddit 讨论认为，对一家千亿美元级公司而言，一个本可能造成巨大损失的漏洞仅获 6500 美元赏金，与其体量明显不符。
  • 研究者还批评 OpenAI 在事件曝光后仍不够重视网络安全。事件暴露了 AI 巨头在员工账号与身份认证链路上的薄弱环节，对行业安全实践具有警示意义；@jessicawruan 也指出 AI Agent 在此事件中展现的两天盲打堆漏洞能力，再度引发对 AI 辅助攻防能力的关注。

第 3 集 · Lambert：闭源模型才是 AI 风险冰山之尖(2026-09-18,6 条)

9 月 18 日，AI 安全研究员 Nathan Lambert 就「有外部人员通过 Claude 攻破/越狱 OpenAI 系统」的安全事件连续发表多条评论，核心观点是：AI 风险的「冰山尖端」始终在闭源前沿模型，而非业界普遍担心的开源模型。次日（9 月 19 日），@zivravid 发帖呼应，进一步补充了闭源系统缺乏外部可审计性这一维度。

已确认

  • Lambert 提出的三点理由：闭源模型 1) 上手门槛更低，2) 能力更强，3) 自带的安全护栏易被绕过；相比之下开源模型在这几方面风险更小。
  • 他同时假设推演：如果同样的攻击手法是用一个开源模型针对 OpenAI 发起的，「开放」的使命将遭受毁灭性打击，开放权重/开放性运动甚至可能就此终结。
  • 他批评 AI 行业在安全问题上存在双重标准：闭源厂商出事往往被宽容对待，而开源一方一旦出事则会被严厉追责（据其帖子转述）。
  • @zivravid 总结该事件的两种解读：错误的教训是「所以必须禁止开源 AI」；正确的教训恰恰相反——风险集中在闭源系统，因为最强能力的模型、最容易上手的访问方式、带漏洞的安全护栏都集中于闭源一侧，且闭源系统完全没有外部可审计性。

为什么重要

  • 这一表态发生在外界常把「开源权重模型」视为主要风险源、主张加强管控的舆论背景下，Lambert 借真实发生的闭源系统攻破事件反证：能力更强、门槛更低、护栏可绕过的闭源前沿模型才是更现实的攻击面。
  • 他对双重标准的批评与「开源遭同等攻击将终结开放运动」的推演，为开放生态的支持者提供了安全视角的论据；@zivravid 补充的「无可审计性」论点则进一步强化了这一立场，可能影响公众与监管对开源与闭源模型风险排序的认知。

注：Lambert 的多条帖子为同一作者对同一事件的重复转述，信息高度重合，已合并呈现。

第 4 集 · OpenAI 漏洞披露风波：CISO 被曝欲起诉研究者后道歉(2026-09-19,14 条)

安全研究者 S1r1u5（Hacktron 团队）通过 Codex on cloud 验证了一个可访问 OpenAI 内部 monorepo 的漏洞，自称具备横向移动获取模型权重、数据集和训练配方的条件，但刻意不下载敏感信息，仅用一个无害 PR 证明可访问后即停止并做负责任披露。然而据其转述，OpenAI 的披露流程「如噩梦一般」，赏金数额（6500 美元）并非争议焦点，他们不得不咨询律师、最终求助记者才推动解决。与此同时 OpenAI CISO（前 Palantir 员工）被曝主张起诉安全研究者，引发社区对 OpenAI「口称拥抱安全社区、实际法律威慑」的嘲讽。此后据 LiveOverflow 披露，该 CISO 已主动联系并道歉，双方和解。

已确认

  • 研究者验证了可访问 OpenAI 内部仓库的漏洞，以无害 PR 证明后停止，走负责任披露路径（m5）
  • 研究者称 OpenAI 披露流程艰难，需求助律师与记者，赏金为 6500 美元（m3）
  • LiveOverflow 表示 OpenAI CISO 已主动道歉、双方和解，并说明其此前的批评推文串仅是个人观点（m6、m8）
  • Hacktron 创始人 S1r1u5 澄清并非 Claude Code 自主黑掉 OpenAI，关键在于人类研究员 rootxharsh 此前发现过 Discord 零日漏洞、对 OpenAI 基础设施有深入了解（m14）
  • 白帽黑客 s1r1us 发文澄清：找到漏洞不等于懂得保护如此复杂的组织，OpenAI 有更专业的安全团队（m12）

尚未确认

  • CISO 是否确实主张起诉研究者，主要来自转发帖转述，未见原始一手信源
  • OpenAI 官方对披露流程问题的正式整改承诺，材料中未见

为什么重要

  • 安全圈资深人士 Robert Graham 批评 OpenAI 与 Anthropic 正在背弃网络安全社区四十年「鼓励开放披露、反对报复」的原则（m2）；研究者 IceSolst 认为一群有能力的黑客主动上门本是建立信任的绝佳机会，OpenAI 的反应把机会烧掉了，甚至应为此撤换 CISO（m11）
  • 事件引发方法论之争：Tal BeerySec 主张发现 0-day 应做负责任披露而非横向移动，认为在 OpenAI GitHub 仓库提交 PR 的行为「过了界」（m13）；jachiam0（OpenAI 前红队、现 Anthropic）则认为即使披露超出 bug bounty 范围也应支持负责任披露，并驳斥外界对 CISO 的攻击是「完全歪曲」，还自证其早已警示 Slack 横向移动风险（m7、m9、m10）
  • Joshua Saxe 借此吐槽 OpenAI 的安全成熟度像野蛮扩张的公司（m4），凸显前沿 AI 公司安全实践与外部研究社区关系的系统性张力