Ein Bug-Bounty-Fund erreichte OpenAIs eigenen Code
Zwischen dem 23. und 25. Juli verkettete ein kleines Team von Bug-Bounty-Forschern, das unter dem Namen Hacktron arbeitet, zwei gewöhnliche Sicherheitslücken zu Zugang auf OpenAIs internen Quellcode. Die erste war ein Heap-Buffer-Overflow in libheif, einer Open-Source-Bildbibliothek, ein Fehler, der im Vorjahr bereits leise im Quellcode behoben, aber nie mit einer CVE versehen worden war, sodass die meisten Nutzer nie erfuhren, dass sie patchen mussten. Die zweite war eine fehlkonfigurierte Single-Sign-On-Anmeldung im eigenen Community-Hilfeforum von OpenAI. Das Hochladen eines präparierten HEIF-Bildes über die Discourse-Software dieses Forums löste den Overflow aus und verschaffte den Forschern bis zum Morgen des 25. Juli Remote-Code-Ausführung auf dem Forum-Server.
Von dort aus ließ die SSO-Fehlkonfiguration sie die ChatGPT- und Codex-Accounts von Mitarbeitern übernehmen, die denselben Login für OpenAIs Community-Seite und interne Werkzeuge nutzten. Bei einem dieser Mitarbeiter war der Codex-Account mit OpenAIs GitHub-Organisation verbunden. Über diese Verbindung öffneten die Forscher einen Proof-of-Concept-Pull-Request mit der Nummer 1186742 im eigenen internen Code-Repository von OpenAI. OpenAI bestätigte noch in derselben Nacht, dass das Problem behoben war, und zahlte am 1. September ein Kopfgeld von 6.500 Dollar über sein Programm.
Ein Fehler, mehrere Unternehmen
OpenAI war nicht das einzige Ziel. Derselbe libheif-Fehler, verfolgt unter einem Projekt, das die Forscher HEIF Heist nennen, verschaffte dem Team Zugänge bei mehreren anderen Unternehmen, die ebenfalls Bildverarbeitungs-Pipelines auf derselben Bibliothek betreiben.
| Ziel | Was die Forscher erreichten | Ergebnis |
|---|---|---|
| OpenAI | Mitarbeiter-Account, dann ein PR im internen Monorepo | 6.500 Dollar Kopfgeld, innerhalb eines Tages behoben |
| Slack | Bildverarbeitungs-Pipeline auf Basis von libheif | Über Slacks Bug-Bounty-Programm gemeldet |
| Meta | Bildverarbeitungs-Pipeline auf Basis von libheif | Über Metas Bug-Bounty-Programm gemeldet |
| GitHub Enterprise | Bildverarbeitungs-Pipeline auf Basis von libheif | Über GitHubs Bug-Bounty-Programm gemeldet |
Die Forscher sagen, das gesamte zweimonatige HEIF-Heist-Projekt habe sie über alle vier Unternehmen hinweg unter 3.000 Dollar an KI-Modellnutzung gekostet. Das ist die eigentliche Kernzahl: ein einziger, still gepatchter, CVE-loser Fehler in einer gemeinsam genutzten Open-Source-Bibliothek war billig genug, damit ein Dreier-Team ihn bei vier der am besten verteidigten Unternehmen der Branche in bezahlte Funde verwandelte, wobei ein KI-Modell den Großteil der Sichtung und Exploit-Verkettung erledigte.
Das Modell war nicht die Schwachstelle
Es ist verlockend, das als Geschichte darüber zu lesen, wie ein KI-Modell von sich aus in Systeme einbricht. Das ist es nicht. Claude Opus 4.8 war das Werkzeug der Forscher, um den Overflow zu finden, einen funktionierenden Exploit zu bauen und ihn schneller und billiger als ein menschliches Team allein an den SSO-Fehler anzuknüpfen. Die eigentlichen Schwachstellen waren unspektakulär und vertraut: ein alter Bibliotheksfehler, der nie eine CVE erhielt und deshalb nie überall dort gepatcht wurde, wo er genutzt wurde, eine Single-Sign-On-Einrichtung, die einem einzigen Login erlaubte, mehrere unabhängige Systeme zu öffnen, und der Coding-Assistent-Account eines Mitarbeiters, der Schreibrechte auf das sensibelste Repository eines Unternehmens trug.
Nichts davon erforderte, OpenAIs eigene KI-Verteidigung zu überwinden, denn nichts davon berührte OpenAIs KI-Systeme überhaupt. Das Community-Hilfeforum, eine Discourse-Installation mit veralteter Bildverarbeitungssoftware, war die Tür. Der eigene Account des Mitarbeiters, und alles, womit dieser Account zufällig verbunden war, war der Flur, der von dieser Tür zum Monorepo führte.
Was ein europäisches Unternehmen wirklich prüfen sollte
Jedes der vier in diesem Projekt getroffenen Unternehmen betreibt ein ernstzunehmendes Programm für Anbietersicherheit, und jedes hatte trotzdem dieselbe Lücke: ein internes System, erreichbar über einen Account, dessen KI-Coding-Assistent-Integration weiter reichte, als irgendjemand kartiert hatte. Eine typische Anbieterrisikobewertung bewertet die SaaS-Werkzeuge, die ein Unternehmen direkt einkauft. Sie fragt selten, womit der Codex-, Claude-Code- oder Copilot-Account eines Entwicklers auf der anderen Seite verbunden ist, oder was passiert, wenn genau dieser eine Login irgendwo übernommen wird, das mit den eigenen Systemen des Unternehmens nichts zu tun hat.
Diese Lücke ist unter NIS2 und dem Cyber Resilience Act relevant, wo die Meldefrist beginnt, wenn ein Vorfall entdeckt wird, nicht wenn er geschieht. In diesem Fall kam die Entdeckung von außenstehenden Forschern, die ein Bounty-Programm betrieben, nicht aus internem Monitoring. Ein Unternehmen, das heute nicht sagen kann, welche KI-Assistent-Accounts seiner Entwickler mit welchen anderen Plattformen verbunden sind, hat keine realistische Möglichkeit zu wissen, ob dieselbe Kette es bereits erreicht hat.
Weiterlesen: Cloudflare Findet Bugs Per KI, Patcht Sie Noch Nicht | Anthropic lässt Sie die Pflicht-Logs selbst hosten
