Drie Uur, Geen Drie Maanden
Op 23 juli keken drie beveiligingsonderzoekers van Hacktron naar een heap buffer overflow in libheif, de bibliotheek die HEIC- en HEIF-fotobestanden decodeert. Ze hadden een theorie. OpenAI's eigen communityforum, community.openai.com, draaide op Discourse. Discourse's upload-pijplijn gaf onherkende beeldformaten rechtstreeks door aan ImageMagick, dat op diezelfde kwetsbare libheif steunde. Claude Opus 4.8 besteedde meerdere sessies aan het omzetten van de theorie in een werkende exploit en kwam niet langs address space layout randomization. De onderzoekers legden het project opzij.
Op de avond van 24 juli bracht Anthropic vervolgens Claude Opus 5 uit. Het team gaf het nieuwe model hetzelfde probleem. Binnen drie uur had het een werkende ARM64-exploit voor een lokale Mac en droeg die zelfstandig over naar Discourse's productieomgeving op x86-64 en jemalloc. Om 06:00 UTC op 25 juli werkte de exploit tegen een lokaal doel. Om 10:00 UTC werkte hij tegen OpenAI's live forum.
De Bug Die Niemand Echt Hoefde Te Patchen
Het libheif-lek was geen ontdekking. Het was al stroomopwaarts gerepareerd, in stilte, zonder dat er een CVE-nummer aan werd toegekend. Geen CVE betekende geen melding bij het beveiligingsteam van Debian, waardoor Debian 12, het basisimage van Discourse, de fix nooit overnam. Discourse erfde het lek via ImageMagick. OpenAI's forum erfde het via Discourse. Drie organisaties, drie afzonderlijke beslissingen om niets te doen, geen daarvan op zichzelf fout.
De forumbreuk alleen zou beperkt zijn gebleven. Wat er een OpenAI-incident van maakte, was een single sign-on tussen het forum en de ChatGPT- en Codex-accounts van medewerkers. Het compromitteren van een forumaccount gaf de onderzoekers een sessie die doorliep tot in Codex. Codex was gekoppeld aan GitHub. GitHub bevatte de openai/openai-monorepo. Negen onderdelen, negen aparte teams, één doorlopend pad van een ongerepareerde fotobibliotheek tot de broncode.
Hoe Snel De Keten Zich Echt Sloot
Hacktron publiceerde zijn eigen tijdlijn tot op de minuut nauwkeurig. Naast elkaar gelegd, was het verschil tussen een model dat de klus niet klaarde en een model dat rechtstreeks door OpenAI's identiteitsgrens brak, precies één productlancering.
| Tijd (UTC) | Gebeurtenis | Actor |
|---|---|---|
| 23 jul, 05:00-06:00 | libheif-overflow geïdentificeerd; Opus 4.8 slaagt niet in een betrouwbare exploit | Mens + Opus 4.8 |
| 24 jul, avond | Claude Opus 5 uitgebracht; krijgt hetzelfde doel | Anthropic |
| 25 jul, 06:00 | Werkende ARM64-exploit bevestigd op een lokale Mac | Opus 5 |
| 25 jul, 10:00 | Remote code execution bereikt op Discourse Cloud, /etc/hosts uitgelezen | Opus 5, mensgestuurd |
| 25 jul, 13:30-15:30 | Account van medewerker bij ChatGPT en Codex bereikt; toegang aangetoond, tests gestopt | Menselijke onderzoekers |
| 25 jul, 22:49 | OpenAI bevestigt een uitgerolde fix | OpenAI |
| 1 sep | OpenAI betaalt 6.500 dollar bounty, alleen voor de SSO-vondst | OpenAI |
De exploit in drie uur is de kop. Het deel dat de moeite waard is om bij stil te staan, zijn de 22 uur en 49 minuten tussen het bereiken van een medewerkersaccount en OpenAI's bevestiging van de fix. Dat was de echte reactietijd waarop de keten werd getest. Die hield stand.
Waarom Dit Telt Voor Elke EU-Operator, Niet Alleen AI-Labs
Hacktrons eigen conclusie is onomwonden: beveiliging leunde lang op complexiteit als gracht, op de aanname dat exploitontwikkeling een goed gefinancierd team en maanden tijd vergt. Precies die gracht heeft Opus 5 bij dit lek weggenomen. De onderzoekers schreven dat werk dat vroeger schaarse specialistische kennis vereiste, nu in rekenkracht kan worden omgezet. Ze voegden toe dat de sprong van Opus 5 naar het volgende model in hun eigen tests al zichtbaar was.
Voor een bedrijf onder NIS2, in Nederland omgezet via de Cyberbeveiligingswet, komt die verdichting op de klok terecht, niet alleen op het budget. Essentiële en belangrijke entiteiten moeten een significant incident binnen 24 uur na kennisname melden en binnen 72 uur een volledig rapport indienen. Hacktrons eigen keten, van werkende exploit tot gecompromitteerde interne repository, sloot zich binnen precies dat venster van 72 uur. De meldklok en de klok van de aanvaller lopen niet langer op verschillende snelheden. Een detectieproces gebouwd op dagen, niet op uren, is gebouwd voor de verkeerde tegenstander.
De Kern
Niemand in dit verhaal handelde roekeloos. OpenAI draaide een bug bounty-programma en betaalde binnen dagen uit. Hacktron maakte verantwoord bekend en stopte op het moment dat toegang was aangetoond. Discourse leverde binnen 48 uur na de melding een fix. Het systeem werkte precies zoals bedoeld. Een AI-model bereikte toch de broncode van een toonaangevend AI-lab, vertrekkend vanuit een foto-uploadbug die elders op internet allang gerepareerd was.
OpenAI's eigen bounty-voorwaarden sloten tests tegen Discourse zelf uit, waardoor de uitbetaling van 6.500 dollar alleen het identiteitsgrensprobleem dekte, niet de exploit die de onderzoekers binnenbracht. Dat gat tussen wat een bounty-programma dekt en wat een aanvaller werkelijk nodig heeft, verdient op zichzelf een audit, modelondersteund of niet.
Lees hierna: Uw NIS2-dreigingsmodel ging uit van de verkeerde aanvaller | De Beste AI-hacktools Zijn Nu Alleen Op Uitnodiging
