白帽安全团队 Hacktron AI 借助 Anthropic Claude Opus 5，把一处图像处理漏洞构造成完整攻击链，成功入侵 OpenAI 员工的 ChatGPT 账号，还可访问企业内部 GitHub 环境。该事件直观体现，AI 编码代理大幅降低复杂漏洞利用的开发门槛。
团队在7月就向 OpenAI 和 Discourse 提交漏洞报告，近期对外披露完整细节。《华尔街日报》也做了独立报道。研究人员并未读取敏感源码，仅利用拿到的员工 Codex 权限，在 OpenAI 内部代码仓库创建无害的拉取请求，以此证明攻击链路能够突破 ChatGPT，延伸至开发者基础设施。Hacktron 同步放出相关技术讲解视频。
本次攻击属于 HEIF Heist 系列研究，同一批漏洞还覆盖 Slack、Meta、Zoom、Shopify、GitHub Enterprise 等平台，只是公开资料里 OpenAI 案例有完整时间线与技术验证，其余平台暂未放出同等深度细节。
攻击链路：从上传图片到接管员工账号
攻击入口是基于 Discourse 搭建的 OpenAI 社区论坛 community.openai.com。论坛处理 HEIC/HEIF 图片时会调用 libheif 库，该版本存在堆缓冲区溢出漏洞，可上传特制图片触发远程代码执行，漏洞评级 CVSS 8.8，Discourse 已经完成修补并增加沙箱防护。
图片漏洞只是第一步。研究人员发现 OpenAI 单点登录机制存在缺陷，拿到论坛服务器控制权后，可进一步劫持通过这套SSO登录的用户账号，其中就包含 OpenAI 员工账号。也就是说论坛漏洞只是立足点，真正的风险来自 OpenAI 自身身份校验问题。
一旦接管员工的 ChatGPT / Codex 账号，就能继承账号绑定的各类服务权限：GitHub、Slack、邮箱、云盘等。本次演示用到的员工账号，其 Codex 环境接入了 OpenAI 内部 GitHub 组织。AI 代理连接器放大了攻击影响范围，AI 账号一旦失守，所有关联业务系统都会暴露风险。
Claude Opus 5 加速漏洞武器化
传统内存损坏漏洞的利用开发门槛极高，需要大量人工调试。研究人员最早尝试用 Claude Opus 4.8 研究 libheif，但是在开启地址空间布局随机化（ASLR）环境下，很难做出稳定可用的利用代码。
在 Claude Opus 5 发布之后，情况发生明显变化。模型数小时内就产出可用的 ARM64 漏洞利用代码，后续再适配到 Discourse 使用的 x86-64 + jemalloc 环境。从发现漏洞到打通访问内部仓库的完整链路，整个过程不到72小时。
漏洞处置与行业启示
Hacktron 在7月25日通过 Bugcrowd 赏金平台上报漏洞，OpenAI 当天完成修复，最终发放6500美元漏洞赏金。OpenAI 对外表示，已经收紧社区登录令牌权限，撤销所有受影响会话与令牌。
这件事暴露两层风险：一是老旧底层依赖库（libheif）的安全隐患，图像上传这类常见功能可能成为突破口；二是AI代理绑定大量企业系统、共享身份凭证，一旦账号被劫持，攻击爆炸半径会急剧扩大。同时前沿大模型正在改写漏洞挖掘的成本结构，高难度漏洞利用不再只属于顶尖逆向工程师。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
