AI-login van een medewerker bereikte OpenAI's broncode

Een bug bounty bereikte OpenAI's eigen code

Tussen 23 en 25 juli koppelde een klein team van bug bounty-onderzoekers, werkend onder de naam Hacktron, twee gewone beveiligingsfouten aan elkaar tot toegang tot OpenAI's interne broncode. De eerste was een heap buffer overflow in libheif, een open-source beeldbibliotheek, een bug die het jaar ervoor al stilletjes bovenstrooms was gerepareerd maar nooit een CVE kreeg, waardoor de meeste gebruikers nooit wisten dat ze moesten patchen. De tweede was een verkeerd geconfigureerde single sign-on op OpenAI's eigen community-hulpforum. Het uploaden van een bewerkte HEIF-afbeelding via de Discourse-software van dat forum triggerde de overflow en gaf de onderzoekers tegen de ochtend van 25 juli remote code execution op de server van het forum.

Van daaruit liet de SSO-misconfiguratie hen de ChatGPT- en Codex-accounts overnemen van medewerkers die dezelfde login gebruikten op OpenAI's communitysite en zijn interne tools. Een van die medewerkers had zijn Codex-account gekoppeld aan OpenAI's GitHub-organisatie. Via die koppeling openden de onderzoekers een proof-of-concept pull request, genummerd 1186742, binnen OpenAI's eigen interne coderepository. OpenAI bevestigde nog dezelfde nacht dat het probleem was verholpen, en betaalde op 1 september via zijn programma een beloning van 6.500 dollar.

Een bug, meerdere bedrijven

OpenAI was niet het enige doelwit. Dezelfde libheif-fout, nagejaagd onder een project dat de onderzoekers HEIF Heist noemen, gaf het team steunpunten bij meerdere andere bedrijven die eveneens beeldverwerkingspijplijnen draaien die op dezelfde bibliotheek zijn gebouwd.

De onderzoekers zeggen dat het hele tweemaandse HEIF Heist-project, over alle vier de bedrijven heen, hen minder dan 3.000 dollar aan AI-modelgebruik kostte. Dat is het echte hoofdcijfer: een enkele, stilletjes gepatchte bug zonder CVE, in een gedeelde open-source bibliotheek, was goedkoop genoeg voor een driepersoonsteam om er betaalde vondsten van te maken bij vier van de best verdedigde bedrijven in de sector, met een AI-model voor het grootste deel van het triage- en exploit-koppelingswerk.

Het model was niet de zwakke schakel

Het is verleidelijk om dit te lezen als een verhaal over een AI-model dat op eigen kracht systemen binnendringt. Dat is het niet. Claude Opus 4.8 was het gereedschap van de onderzoekers om de overflow te vinden, een werkend exploit te bouwen en die sneller en goedkoper dan een menselijk team alleen aan de SSO-fout te koppelen. De werkelijke zwakke punten waren onopvallend en vertrouwd: een oude bibliotheekbug die nooit een CVE kreeg en daardoor nooit overal werd gepatcht waar hij werd gebruikt, een single sign-on-opzet die een enkele login toegang gaf tot meerdere onderling niet-verbonden systemen, en het account van de codeassistent van een medewerker dat schrijftoegang had tot de meest gevoelige repository van een bedrijf.

Niets daarvan vereiste het verslaan van OpenAI's eigen AI-verdediging, want niets daarvan raakte OpenAI's AI-systemen ook maar aan. Het community-hulpforum, een Discourse-installatie die verouderde beeldverwerkingscode draaide, was de deur. Het eigen account van de medewerker, en alles waarmee dat account toevallig verbonden was, was de gang die van die deur naar de monorepo leidde.

Wat een Europees bedrijf werkelijk zou moeten controleren

Elk van de vier getroffen bedrijven in dit project draait een serieus leveranciersbeveiligingsprogramma, en elk had toch dezelfde blootstelling: een intern systeem bereikbaar via een account waarvan de koppeling met een AI-codeassistent verder reikte dan iemand had gekarteerd. Een typische leveranciersrisicobeoordeling scoort de SaaS-tools die een bedrijf rechtstreeks inkoopt. Ze vraagt zelden waarmee het Codex-, Claude Code- of Copilot-account van een ontwikkelaar aan de andere kant verbonden is, of wat er gebeurt als precies die ene login ergens wordt overgenomen dat niets te maken heeft met de eigen systemen van het bedrijf.

Dat gat is van belang onder NIS2 en de Cyberresilience Act, waar de meldklok begint te lopen zodra een incident wordt ontdekt, niet zodra het gebeurt. In dit geval kwam de ontdekking van buitenstaande onderzoekers die een beloningsprogramma draaiden, niet van interne monitoring. Een bedrijf dat vandaag niet kan aangeven welke AI-assistentaccounts van zijn ontwikkelaars met welke andere platforms zijn verbonden, heeft geen realistische manier om te weten of dezelfde keten het al heeft bereikt.

Lees hierna: Cloudflare Vindt Bugs Met AI, Patcht Ze Nog Niet  |  Anthropic laat u zijn verplichte logs zelf hosten