تیم سه‌نفره‌ی امنیتی در استارتاپ Hacktron AI با استفاده از مدل زبانی Claude Opus 5 شرکت Anthropic، زنجیره‌ای از دو آسیب‌پذیری بحرانی در زیرساخت OpenAI را کشف کرد و از این طریق به حساب‌های ChatGPT چند کارمند این شرکت دسترسی یافت. این نفوذ در چارچوب برنامه‌ی باگ‌بانتی OpenAI انجام شد و استارتاپ Hacktron جایزه‌ی ۶۵۰۰ دلاری دریافت کرد.

مسیر نفوذ از بارگذاری تصویر تا دسترسی به GitHub#

پژوهشگران در تاریخ ۲۵ ژوئیه از طریق آسیب‌پذیری در Discourse — نرم‌افزار منبع‌باز مدیریت انجمن‌های گفت‌وگو که فروم OpenAI را پشتیبانی می‌کند — وارد شدند. نقطه‌ی ورود، بارگذاری فایل‌های تصویری HEIF و HEIC (فرمت پیش‌فرض آیفون) در فروم بود. این فایل‌ها از طریق ImageMagick به کتابخانه‌ی libheif منتقل می‌شدند و یک باگ حافظه در libheif امکان تزریق کد دلخواه به مهاجم می‌داد.

نکته‌ی قابل‌توجه این است که توسعه‌دهندگان libheif آن باگ را ماه‌ها پیش برطرف کرده بودند، اما هیچ CVE (شماره‌ی استاندارد آسیب‌پذیری) به آن اختصاص نیافت و به همین دلیل نسخه‌ی آسیب‌پذیر همچنان در محیط Discourse فعال بود.

پس از دسترسی به سرور Discourse، تیم Hacktron آسیب‌پذیری دوم را کشف کرد که امکان تسخیر حساب‌های ChatGPT و Codex کاربران را می‌داد. در یکی از حساب‌های کارمندان OpenAI، ابزار Codex به سازمان GitHub این شرکت متصل بود.

نقش Opus 5 در ساخت اکسپلویت#

طبق گزارش تیم Hacktron، نسخه‌ی Opus 4.8 که برای پژوهشگران امنیت سایبری در دسترس بود، در چندین نشست نتوانست اکسپلویت کاری بسازد. اما ساعاتی پس از انتشار Opus 5، همان مسئله با موفقیت حل شد. OpenAI و Discourse هر دو مطلع شدند و Discourse در ۲۷ ژوئیه وصله‌ی امنیتی منتشر کرد.

خوانش تحریریه#

این خبر دو پیام عملی برای کسانی دارد که با ابزارهای هوش مصنوعی کار می‌کنند. نخست، زنجیره‌ی آسیب‌پذیری اینجا از یک باگ قدیمی در یک کتابخانه‌ی تصویرخوانی شروع شد که چون CVE نداشت، در هیچ اسکنر امنیتی‌ای پرچم‌گذاری نشده بود. اگر محصول شما به کتابخانه‌های منبع‌باز وابسته است، صرفِ «آپدیت بودن» کافی نیست؛ باید بررسی کنید که وصله‌های امنیتیِ بی‌نام‌ونشان هم اعمال شده‌اند یا نه. دوم، فاصله‌ی زمانی بین شکست Opus 4.8 و موفقیت Opus 5 در ساخت اکسپلویت — چند ساعت — نشان می‌دهد که مرز توانمندی مدل‌ها در حمله‌ی سایبری به‌سرعت جابه‌جا می‌شود. مدلی که دیروز بی‌خطر به نظر می‌رسید، ممکن است امروز ابزار عملیاتی مهاجم باشد. این یعنی سیاست‌های محدودسازی دسترسی به مدل‌ها (مانند آنچه برای Mythos 5 اعمال شد) اگر به‌موقع نباشند، عملاً از واقعیت عقب می‌مانند.

منبع: TechCrunch AI