Una bug bounty ha raggiunto il codice stesso di OpenAI
Tra il 23 e il 25 luglio, un piccolo team di ricercatori di bug bounty, che opera sotto il nome Hacktron, ha incatenato due falle di sicurezza comuni fino ad ottenere accesso al codice sorgente interno di OpenAI. La prima era un heap buffer overflow in libheif, una libreria di immagini open source, un bug già corretto silenziosamente a monte l'anno precedente ma mai associato a un CVE, cosicché la maggior parte di chi la usava non ha mai saputo di doverla aggiornare. La seconda era invece una configurazione errata del single sign-on sul forum di assistenza della comunità di OpenAI. Caricare un'immagine HEIF modificata tramite il software Discourse di quel forum ha attivato l'overflow e ha dato ai ricercatori esecuzione di codice remoto sul server del forum entro la mattina del 25 luglio.
Da lì, la falla SSO ha permesso loro di prendere il controllo degli account ChatGPT e Codex dei dipendenti che usavano lo stesso login sia sul sito della comunità di OpenAI sia sui suoi strumenti interni. Uno di questi dipendenti aveva già l'account Codex collegato all'organizzazione GitHub di OpenAI. Usando quel collegamento, i ricercatori hanno aperto una pull request dimostrativa, numerata 1186742, dentro il repository di codice interno di OpenAI stessa. OpenAI ha confermato la stessa notte che il problema era stato risolto, e ha pagato una taglia di 6.500 dollari tramite il suo programma il 1 settembre.
Un bug, diverse aziende
OpenAI non era però l'unico obiettivo. La stessa falla di libheif, seguita nell'ambito di un progetto che i ricercatori chiamano HEIF Heist, ha dato al team punti d'appoggio in altre aziende che gestiscono anch'esse pipeline di elaborazione immagini costruite sulla stessa libreria.
| Obiettivo | Cosa hanno raggiunto i ricercatori | Esito |
|---|---|---|
| OpenAI | Account dipendente, poi una PR dentro il monorepo interno | Taglia di 6.500 dollari, risolto in un giorno |
| Slack | Pipeline di elaborazione immagini basata su libheif | Segnalato tramite il programma bug bounty di Slack |
| Meta | Pipeline di elaborazione immagini basata su libheif | Segnalato tramite il programma bug bounty di Meta |
| GitHub Enterprise | Pipeline di elaborazione immagini basata su libheif | Segnalato tramite il programma bug bounty di GitHub |
I ricercatori affermano però che l'intero progetto HEIF Heist di due mesi, su tutte e quattro le aziende, è costato loro meno di 3.000 dollari in uso di modelli IA. Questo è il vero dato di rilievo: un singolo bug corretto in silenzio e senza CVE, in una libreria open source condivisa, era abbastanza economico perché un team di tre persone lo trasformasse in scoperte retribuite in quattro delle aziende meglio difese del settore, usando un modello IA per svolgere gran parte del lavoro di analisi e concatenazione degli exploit.
Il modello non era il punto debole
È tentante leggere questa storia come un modello IA che si introduce nei sistemi per conto proprio. Non è così. Claude Opus 4.8 era lo strumento dei ricercatori per trovare l'overflow, costruire un exploit funzionante e concatenarlo alla falla SSO più rapidamente e a costi minori di quanto potesse fare da solo un team umano. I punti deboli reali erano poco spettacolari e familiari: un vecchio bug in una libreria che non ha mai ricevuto un CVE e perciò non è mai stato corretto ovunque fosse in uso, una configurazione di single sign-on che permetteva a un solo login di aprire diversi sistemi non collegati, e l'account dell'assistente di codice di un dipendente che portava accesso in scrittura al repository più sensibile di un'azienda.
Niente di tutto ciò ha richiesto di superare le difese IA proprie di OpenAI, perché niente di tutto ciò ha toccato in alcun modo i sistemi IA di OpenAI. Il forum di assistenza della comunità, un'installazione Discourse che eseguiva codice di gestione immagini superato, era la porta. L'account stesso del dipendente, e tutto ciò a cui quell'account si trovava per caso collegato, era il corridoio che ha portato da quella porta al monorepo.
Cosa dovrebbe controllare davvero un'azienda europea
Ognuna delle quattro aziende colpite in questo progetto gestisce un serio programma di sicurezza dei fornitori, e ognuna aveva comunque la stessa esposizione: un sistema interno raggiungibile tramite un account la cui integrazione con un assistente di codice IA arrivava più lontano di quanto chiunque avesse mappato. Una tipica valutazione del rischio fornitori misura gli strumenti SaaS che un'azienda acquista direttamente. Raramente chiede a cosa sia collegato, dall'altro lato, l'account Codex, Claude Code o Copilot di uno sviluppatore, o cosa accada se proprio quel login viene dirottato in un luogo non collegato ai sistemi propri dell'azienda.
Questa lacuna conta secondo la NIS2 e il Cyber Resilience Act, dove il tempo per la notifica inizia quando un incidente viene scoperto, non quando accade. In questo caso, la scoperta è arrivata da ricercatori esterni che gestivano un programma di bug bounty, non da alcun monitoraggio interno. Un'azienda che oggi non sa rispondere a quali account assistente IA dei suoi sviluppatori siano collegati a quali altre piattaforme non ha un modo realistico di sapere se la stessa catena l'abbia già raggiunta.
Da leggere ora: Cloudflare Trova Bug Con L'IA, Non Li Corregge Ancora | Anthropic ti lascia ospitare da solo i suoi log obbligatori
