Σύνοψη
- Η startup κυβερνοασφάλειας Hacktron AI παραβίασε τα εσωτερικά συστήματα και το αποθετήριο κώδικα της OpenAI μέσα σε μόλις 72 ώρες, αξιοποιώντας τις προγραμματιστικές ικανότητες του μοντέλου Claude Opus 5 της ανταγωνιστικής Anthropic.
- Η ομάδα εντόπισε μια κρίσιμη ευπάθεια υπερχείλισης μνήμης (heap buffer overflow) στη βιβλιοθήκη libheif του επίσημου φόρουμ της OpenAI, αποκτώντας αρχική πρόσβαση στους servers μέσω του upload ενός ειδικά διαμορφωμένου αρχείου εικόνας.
- Εκμεταλλευόμενοι ένα κατασκευαστικό σφάλμα στο σύστημα ενιαίας ταυτοποίησης (Single Sign-On), οι ερευνητές αναβάθμισαν τα δικαιώματά τους αποκτώντας έλεγχο σε λογαριασμούς ChatGPT υπαλλήλων της OpenAI, υποβάλλοντας τελικά ένα δοκιμαστικό pull request στο εσωτερικό monorepo.
- Η παραβίαση κόστισε ελάχιστα σε API tokens, ενώ η OpenAI διόρθωσε άμεσα το πρόβλημα καταβάλλοντας χρηματική αμοιβή 6.500 δολαρίων στους δημιουργούς του exploit.
Η ομάδα της Hacktron AI απέκτησε πρόσβαση στο ιδιωτικό αποθετήριο GitHub της OpenAI μέσα σε 72 ώρες, συνδυάζοντας ένα κενό ασφαλείας στη βιβλιοθήκη εικόνων libheif του φόρουμ (Discourse) με ένα ελάττωμα στο σύστημα ταυτοποίησης (SSO). Χρησιμοποιώντας το Claude Opus 5, οι ερευνητές δημιούργησαν ένα λειτουργικό exploit και κατέλαβαν λογαριασμούς Codex υπαλλήλων.
Μια μικρή ομάδα τριών ερευνητών κυβερνοασφάλειας, αποτελούμενη από τους Harsh Jaiswal, Mohan Pedhapati και Rahul Maini, κατάφερε να παραβιάσει τα εσωτερικά συστήματα της OpenAI φτάνοντας μέχρι τον ιδιωτικό πηγαίο κώδικα. Η πολύπλοκη επιχείρηση, η οποία έγινε γνωστή με την κωδική ονομασία HEIF Heist, στηρίχθηκε στην εντυπωσιακή ικανότητα των νεότερων μεγάλων γλωσσικών μοντέλων να επιταχύνουν δραματικά τον κύκλο δοκιμών και ανάπτυξης επιθετικού κώδικα, μειώνοντας τον απαιτούμενο χρόνο για τη δημιουργία ενός αξιόπιστου exploit από αρκετές εβδομάδες σε μόλις μερικές ώρες. Το σημείο εκκίνησης για την ολοκληρωτική κατάρρευση των προστατευτικών δικτύων της OpenAI εντοπίστηκε σε ένα φαινομενικά αδιάφορο υποσύστημα το οποίο αφορούσε την επίσημη κοινότητα συζητήσεων των προγραμματιστών (community.openai.com) που βασίζεται στην πλατφόρμα Discourse.
Οι ερευνητές της Hacktron AI εντόπισαν ότι οι διακομιστές του φόρουμ επεξεργάζονταν τις μεταφορτωμένες φωτογραφίες μορφής HEIC και HEIF χρησιμοποιώντας το εργαλείο ImageMagick, το οποίο με τη σειρά του προωθούσε τα δεδομένα στην προβληματική βιβλιοθήκη ανοιχτού κώδικα libheif. Αναλύοντας τη συμπεριφορά του κώδικα κατά την αποκωδικοποίηση των εικόνων, η ομάδα ανακάλυψε μια ευπάθεια υπερχείλισης προσωρινής μνήμης σωρού (heap buffer overflow), ένα εξαιρετικά κοινό αλλά εξίσου επικίνδυνο σφάλμα το οποίο μπορεί να οδηγήσει σε απομακρυσμένη εκτέλεση κώδικα.
Παρά τον εντοπισμό του αρχικού σφάλματος, η σύγχρονη αρχιτεκτονική των διακομιστών περιλαμβάνει προηγμένους μηχανισμούς τυχαιοποίησης του χώρου διευθύνσεων μνήμης (ASLR), γεγονός που καθιστά εξαιρετικά δύσκολη τη μετατροπή της υπερχείλισης σε ένα σταθερό και λειτουργικό πρόγραμμα επίθεσης χωρίς συνεχείς καταρρεύσεις της εφαρμογής. Σε αυτό ακριβώς το σημείο η ομάδα επιστράτευσε το μοντέλο Claude Opus 4.8 της Anthropic με σκοπό να παρακάμψει την προστασία ASLR, χωρίς όμως ουσιαστικό αποτέλεσμα, καθώς η παλαιότερη έκδοση της τεχνητής νοημοσύνης απέτυχε συστηματικά να δομήσει τη μνήμη μέσω jemalloc για την επίτευξη του στόχου. Η μεγάλη ανατροπή σημειώθηκε τη νύχτα της 24ης Ιουλίου 2026, όταν η Anthropic διέθεσε δημόσια το αναβαθμισμένο Claude Opus 5, το οποίο παρέλαβε τα δεδομένα της αποτυχημένης προσπάθειας και μέσα σε λιγότερο από τρεις ώρες παρήγαγε ένα απόλυτα λειτουργικό exploit αρχικά για αρχιτεκτονική ARM64 και στη συνέχεια για τα περιβάλλοντα x86-64 του Discourse.
Η αλυσίδα των λαθών και η εισβολή στο εταιρικό GitHub
Η απόκτηση απομακρυσμένης πρόσβασης και ελέγχου στους διακομιστές του δημόσιου φόρουμ αποτελούσε απλώς το πρώτο στάδιο της διαδικασίας, καθώς το συγκεκριμένο περιβάλλον λογικά φιλοξενείται σε απομονωμένο δίκτυο με αυστηρούς περιορισμούς. Η πραγματική απειλή αναδείχθηκε μέσα από ένα καταστροφικό λάθος σχεδιασμού στις υποδομές ταυτοποίησης (identity infrastructure) της OpenAI, το οποίο επέτρεπε την παράλογη κλιμάκωση δικαιωμάτων μέσω του μηχανισμού Single Sign-On (SSO) που ένωνε τις διάφορες υπηρεσίες κάτω από την ομπρέλα του auth.openai.com.
Η ομάδα της Hacktron AI διαπίστωσε έκπληκτη πως τα διακριτικά συνεδρίας (session tokens), τα οποία εξέδιδε το Discourse μετά την αυθεντικοποίηση ενός μέλους, διατηρούσαν πλήρη ισχύ και για τα κεντρικά προϊόντα της εταιρείας, δίνοντας τους τη δυνατότητα να υποκλέψουν τις συνδέσεις και να αποκτήσουν αθόρυβα πρόσβαση σε εσωτερικούς λογαριασμούς ChatGPT και Codex οι οποίοι ανήκαν σε πραγματικούς υπαλλήλους της OpenAI. Αυτή η ολέθρια διασύνδεση υπηρεσιών απέδειξε περίτρανα πως το φόρουμ λειτούργησε ως κερκόπορτα παρακάμπτοντας την πραγματική περίμετρο ασφαλείας του εταιρικού δικτύου, καθώς οι λογαριασμοί αυτοί των εργαζομένων έφεραν ήδη πιστοποιημένες διασυνδέσεις προς τα πιο ευαίσθητα εταιρικά εργαλεία, όπως το Slack, το ηλεκτρονικό ταχυδρομείο Outlook και το Google Drive.
Για να αποδείξουν το τεράστιο μέγεθος της παραβίασης χωρίς ωστόσο να διαβάσουν ή να αντιγράψουν μυστικά πρωτόκολλα και εταιρικά δεδομένα (τηρώντας τους κανόνες ηθικής του προγράμματος ανεύρεσης σφαλμάτων), οι ερευνητές εκμεταλλεύτηκαν έναν παραβιασμένο λογαριασμό Codex προκειμένου να ανοίξουν ένα εντελώς αβλαβές pull request στο αυστηρά φρουρούμενο κεντρικό αποθετήριο που ονομάζεται "openai/openai". Η εταιρεία ενημερώθηκε άμεσα, κλειδώνοντας την πρόσβαση στα κρίσιμα tokens μέσα σε περίπου δεκατέσσερις ώρες και επιβραβεύοντας τους ειδικούς με το ποσό των 6.500 δολαρίων, ενώ το λογισμικό Discourse διέθεσε αναβαθμίσεις για την επικίνδυνη βιβλιοθήκη libheif επιβάλλοντας παράλληλα νέα αυστηρά όρια προστασίας (sandboxing) στην επεξεργασία ψηφιακών αρχείων πολυμέσων.
Διαβάστε επίσης
