Tre Timmar, Inte Tre Månader
Den 23 juli satt tre säkerhetsforskare från Hacktron och stirrade på ett heap buffer overflow i libheif, biblioteket som avkodar HEIC- och HEIF-bildfiler. De hade en teori. OpenAI's eget community-forum, community.openai.com, kördes på Discourse. Discourse's uppladdningsflöde skickade okända bildformat direkt vidare till ImageMagick, som i sin tur förlitade sig på samma sårbara libheif. Claude Opus 4.8 lade flera sessioner på att försöka göra teorin till en fungerande exploit och kom inte förbi address space layout randomization. Forskarna lade undan försöket.
Sedan, på kvällen den 24 juli, släppte Anthropic Claude Opus 5. Teamet gav den nya modellen samma problem. Inom tre timmar hade den en fungerande ARM64-exploit för en lokal Mac och portade den själv vidare till Discourse's produktionsmiljö på x86-64 och jemalloc. Klockan 06:00 UTC den 25 juli fungerade exploiten mot ett lokalt mål. Klockan 10:00 UTC fungerade den mot OpenAI's liveforum.
Buggen Som Ingen Egentligen Behövde Rätta
Libheif-felet var ingen upptäckt. Det var redan åtgärdat uppströms, i det tysta, utan att tilldelas något CVE-nummer. Inget CVE innebar inget larm till Debians säkerhetsteam, så Debian 12, grundavbildningen Discourse kördes på, hämtade aldrig fixen. Discourse ärvde felet via ImageMagick. OpenAI's forum ärvde det via Discourse. Tre organisationer, tre separata beslut att inte agera, inget av dem fel i sig.
Forumintrånget i sig hade hållits inneslutet. Det som gjorde det till en OpenAI-incident var en gemensam inloggning mellan forumet och medarbetarnas ChatGPT- och Codex-konton. Att kompromettera ett forumkonto gav forskarna en session som ledde vidare in i Codex. Codex var kopplat till GitHub. GitHub höll openai/openai-monoförrådet. Nio komponenter, nio separata team, en sammanhängande väg från ett orättat fotobibliotek till källkoden.
Hur Snabbt Kedjan Egentligen Slöts
Hacktron publicerade sin egen tidslinje in på minuten. Lagd sida vid sida var avståndet mellan en modell som inte klarade uppgiften och en modell som gick rakt igenom OpenAI's identitetsgräns exakt en produktlansering.
| Tid (UTC) | Händelse | Aktör |
|---|---|---|
| 23 jul, 05:00-06:00 | libheif-overflow identifierat; Opus 4.8 misslyckas med en pålitlig exploit | Människa + Opus 4.8 |
| 24 jul, kväll | Claude Opus 5 släpps; får samma mål | Anthropic |
| 25 jul, 06:00 | Fungerande ARM64-exploit bekräftad lokalt på en Mac | Opus 5 |
| 25 jul, 10:00 | Fjärrkodkörning uppnådd på Discourse Cloud, /etc/hosts utläst | Opus 5, människostyrd |
| 25 jul, 13:30-15:30 | Medarbetarkonto nått i ChatGPT och Codex; åtkomst påvisad, tester stoppade | Mänskliga forskare |
| 25 jul, 22:49 | OpenAI bekräftar att en fix är utrullad | OpenAI |
| 1 sep | OpenAI betalar 6 500 dollar i bounty, bara för SSO-fyndet | OpenAI |
Exploiten på tre timmar är rubriken. Den del som är värd att dröja vid är de 22 timmarna och 49 minuterna mellan forskarnas åtkomst till ett medarbetarkonto och OpenAI's bekräftelse av fixen. Det var den verkliga svarstiden kedjan testades mot. Den höll.
Varför Det Spelar Roll För Varje Operatör I EU, Inte Bara AI-Labb
Hacktrons egen slutsats är rak på sak: säkerhet har länge lutat sig mot komplexitet som vallgrav, mot antagandet att exploitutveckling kräver ett välfinansierat team och månader av tid. Just den vallgraven tog Opus 5 bort på den här buggen. Forskarna skrev att arbete som tidigare krävde knapp specialistkompetens nu kan komprimeras till beräkningskraft. De tillade att språnget från Opus 5 till nästa modell redan syntes i deras egna tester.
För ett företag under NIS2, i Sverige genomfört genom cybersäkerhetslagen, landar den komprimeringen på klockan, inte bara på budgeten. Väsentliga och viktiga enheter måste flagga en betydande incident inom 24 timmar efter att de fått kännedom om den och lämna en fullständig rapport inom 72 timmar. Hacktrons egen kedja, från fungerande exploit till komprometterat internt kodförråd, slöts inom exakt det fönstret på 72 timmar. Anmälningsklockan och angriparens klocka går inte längre olika fort. En upptäcktsprocess byggd för dagar, inte timmar, är byggd för fel motståndare.
Kärnan I Saken
Ingen i den här historien agerade vårdslöst. OpenAI drev ett bug bounty-program och betalade ut inom några dagar. Hacktron offentliggjorde ansvarsfullt och stannade i samma ögonblick som åtkomsten var påvisad. Discourse levererade en fix inom 48 timmar efter anmälan. Systemet fungerade precis som avsett. En AI-modell nådde ändå källkoden hos ett ledande AI-labb, med utgångspunkt i en fotouppladdningsbugg som för länge sedan var åtgärdad någon annanstans på internet.
OpenAI's egna bounty-villkor uteslöt tester mot Discourse i sig, så utbetalningen på 6 500 dollar täckte bara identitetsgränsfelet, inte exploiten som tog forskarna in. Det gapet mellan vad ett bounty-program täcker och vad en angripare faktiskt behöver förtjänar en egen granskning, modellstödd eller inte.
Läs vidare: Er NIS2-hotmodell utgick från fel angripare | De bästa AI-hackningsverktygen är nu endast tillgängliga på inbjudan
