Claude обнаружил уязвимость в системах OpenAI: история исследователей Hacktron
Содержание статьи

В сентябре 2026 года команда исследователей Hacktron описала, как во время авторизованного тестирования безопасности OpenAI использовала Claude для анализа уязвимости и построения цепочки атаки. Исследователи смогли получить доступ к аккаунтам нескольких сотрудников OpenAI через публичный форум, а затем продемонстрировали возможный путь к внутреннему коду. Для доказательства они создали безвредный pull request, не пытаясь читать или изменять конфиденциальные данные.

Заголовки вроде «Claude взломал OpenAI» упрощают ситуацию. Claude был инструментом в руках специалистов, а результат дала комбинация нескольких ошибок: небезопасная обработка изображений в стороннем ПО, ошибка в SSO и слишком широкие связанные доступы. Именно эта цепочка, а не название модели, является главным уроком для пользователей и разработчиков.

Что именно исследовали Hacktron

Команда работала в рамках программы поиска уязвимостей. Первой целью был публичный форум OpenAI на базе Discourse. Исследователи обратили внимание на обработку загруженных изображений, в частности форматов, которые проходят через библиотеку libheif и связанные компоненты.

Во время анализа они использовали Claude как помощника для понимания кода, проверки гипотез и подготовки тестового сценария. Это важная деталь: модель не действовала автономно в чужой сети. Люди определяли границы теста, проверяли результаты и работали в рамках разрешённой программы.

По опубликованному описанию, исследователи нашли ошибку обработки данных в цепочке изображений. Отдельно сработала проблема SSO, которая позволила перейти от доступа к форуму к сессиям ChatGPT и Codex сотрудников. Такой переход показывает, что безопасность публичного форума может влиять на внутренние системы, если между ними неправильно настроено доверие.

Почему здесь важен Discourse, а не только OpenAI

Discourse — распространённая платформа форумов. Если сервис принимает изображения, он может конвертировать, сжимать, создавать миниатюры или проверять метаданные. Каждый компонент, который читает сложный формат файла, увеличивает поверхность атаки.

Уязвимость в такой цепочке не означает, что каждое изображение заражено. Риск возникает, когда сервер автоматически передаёт файл уязвимому декодеру, а система не имеет изоляции, актуальных пакетов и ограниченных прав. Именно поэтому загрузка пользовательских файлов должна выполняться в отдельном процессе с минимальными разрешениями.

Для владельца сайта это практический вывод: проверяйте не только WordPress или основной фреймворк, но и библиотеки обработки изображений, PDF, архивов, видео и офисных файлов. Если на сервере установлены сторонние компоненты, их версия и источник обновлений должны быть известны.

Как Claude помог исследователям

Модель могла объяснять фрагменты кода, находить подозрительные места, предлагать варианты теста и помогать адаптировать понимание уязвимости к конкретной среде. Это сокращает время на рутинный анализ, но не убирает необходимость проверять каждый результат.

Исследователи сообщали, что ранняя версия модели не сразу дала рабочий результат. После появления более новой версии часть задач стала проще. Этот факт не означает, что любой пользователь может одним запросом взломать сервис. Эксплойт зависит от конкретной версии библиотеки, конфигурации, защиты памяти, сети и доступов.

Использование ИИ в безопасности имеет двойной эффект. Защитник может быстрее анализировать логи и патчи, но атакующий так же быстрее проверяет гипотезы. Поэтому организации должны сокращать время между выходом исправления и его установкой, а также ограничивать последствия компрометации одного аккаунта.

Что означает «взломанный аккаунт OpenAI»

В сообщениях шла речь о получении доступа к аккаунтам сотрудников ChatGPT и Codex через цепочку с форумом и SSO. Это не значит, что взломали все аккаунты пользователей ChatGPT или что каждый разговор стал доступен посторонним.

Для демонстрации исследователи открыли безвредный pull request во внутреннем репозитории. Такой шаг подтверждал уровень доступа, но не был попыткой изменить код или украсть данные. Важно отделять подтверждённое действие от потенциальных возможностей: доступ к интеграции ещё не означает, что все связанные секреты были прочитаны.

OpenAI и Discourse получили уведомления, а проблему исправляли в рамках координированного раскрытия. По данным публичных материалов, команде выплатили вознаграждение в размере 6500 долларов. Это пример того, как ответственное сообщение снижает риск для всех пользователей.

Чем это отличается от фишинга

Фишинг обманывает пользователя и заставляет его самостоятельно отдать пароль или код. В случае Hacktron речь шла о технической цепочке в серверном ПО и системе входа. Для пользователя вывод похожий: один аккаунт не должен автоматически открывать все системы.

Включите двухфакторную аутентификацию, проверяйте активные сессии и удаляйте ненужные интеграции. Не храните долгоживущие токены в открытом текстовом файле на ноутбуке. Отдельно проверьте разрешения подключенных GitHub, Google, Slack или других сервисов. О риске кражи сессий AI-сервисов мы писали в материале про кражу сессий и токенов Claude.

Что должны сделать разработчики

Серверы, принимающие файлы, должны ограничивать формат, размер и количество попыток. Обработку нужно выполнять в контейнере или отдельном процессе без доступа к секретам, внутренней сети и файловой системе приложения. Исходные файлы не стоит передавать конвертеру с правами администратора.

Держите библиотеки libheif, ImageMagick, системные пакеты и Discourse актуальными. Список зависимостей должен быть автоматизирован, а обновления — проверяться в тестовой среде. Важно следить не только за CVE основного продукта, но и за пакетами, которые запускаются после загрузки изображения.

SSO нужно настраивать с короткими сессиями, корректной проверкой redirect URI, защитой от повторного использования токенов и минимальными scope. Если форуму не нужен доступ к внутренней инфраструктуре разработки, такой связи не должно быть. Интеграция должна открывать только те действия, которые действительно нужны.

Что должен сделать обычный пользователь

Проверьте, где вы входили через OpenAI или другой AI-сервис, и удалите ненужные подключения. Завершите сторонние сессии, обновите пароль и сохраните резервные коды 2FA в безопасном месте. Если используете API-ключи, отзовите старые и создайте новые с минимальными правами.

Не запускайте файлы или скрипты, которые «нужны для Claude», ChatGPT или Codex, если их прислали в чате или письме. AI-сервис не просит установить неизвестный установщик для подтверждения аккаунта. Подозрительный файл может быть отдельной атакой, даже если новость о Hacktron упоминается в сообщении.

Если на ноутбуке хранились токены, ключи или активные сессии, а вы запускали неизвестный файл, отключите устройство от сети и измените доступы с чистого телефона. Проверьте браузерные расширения, автозапуск и загрузки. В случае подозрения на компрометацию диагностика ноутбука поможет определить, проблема в сессии, вредоносном ПО или обычном конфликте программ.

Почему ИИ не заменяет специалиста по безопасности

Модель может генерировать убедительный код с ошибками, предлагать опасные действия или неправильно интерпретировать конфигурацию. В продуктивной системе любая подсказка ИИ должна проходить ревью, тестирование в изоляции и проверку прав доступа.

То же касается защиты ноутбука. Не копируйте в чат полные логи с паролями, cookie, токенами или приватными ключами. Перед анализом замаскируйте секреты, оставьте только нужный фрагмент и используйте контролируемую среду. Если подозреваете, что ключ уже утёк, его нужно отозвать, а не просить модель «проверить», действителен ли он.

Как меняется модель угроз

Раньше сложная цепочка требовала длительного ручного анализа. Теперь ИИ может ускорить поиск соответствий между библиотекой, версией, конфигурацией и ошибкой. Это уменьшает время, которое есть у защитника для обновления системы.

Защита тоже может использовать ИИ: для сортировки логов, поиска аномалий, объяснения патчей и подготовки тестов. Но автоматизация не должна получать неограниченные права в производственной сети. Лучший баланс — модель изолирована, действия подтверждены человеком, а доступы минимальны и короткоживущие.

Эта история также напоминает о цепочке поставок. Уязвимость может быть не в «главном» продукте, а в декодере изображений, плагине, форуме или интеграции входа. Владелец сервиса отвечает за весь путь данных, который запускается после нажатия кнопки «загрузить».

Вывод

Hacktron не доказал, что Claude самостоятельно взломал OpenAI. Исследователи использовали модель как инструмент в разрешённом тесте и объединили уязвимость обработки изображений с проблемой SSO и избыточным доступом интеграций. Именно цепочка стала причиной результата.

Для пользователя ответ прост: обновляйте устройство, защищайте аккаунты 2FA, отзывайте старые токены, не запускайте неизвестные файлы и не доверяйте интеграциям с лишними правами. Для разработчика — изолируйте обработку файлов, ведите инвентаризацию зависимостей и не позволяйте одному форуму открывать путь к внутреннему коду.

FAQ

Q: Взломали ли всех пользователей OpenAI? A: Нет. Публично описанный инцидент касался конкретной цепочки доступов и аккаунтов сотрудников в рамках исследования.

Q: Сам ли Claude атаковал OpenAI? A: Нет. Claude использовали исследователи Hacktron как инструмент анализа в авторизованном тесте.

Q: Почему обработка изображений может быть опасной? A: Сложные форматы запускают декодеры и библиотеки. Ошибка в них может повлиять на сервер, если файл обрабатывается без изоляции и актуальных патчей.

Q: Что делать с токенами на ноутбуке? A: Не храните их в открытом тексте, отзывайте подозрительные ключи и создавайте новые с минимальными правами.

Q: Нужно ли удалять Claude или ChatGPT? A: Нет. Нужно проверить аккаунт, сессии, интеграции и устройство, а не делать вывод только по заголовку новости.