Anthropics Claude hat früher OpenAI durchbrochen

In einer Entwicklung, die die sich wandelnde Landschaft der KI-Sicherheit unterstreicht, nutzten unabhängige Forscher Anthropics Claude, um OpenAI zu kompromittieren und Schwachstellen in den Abwehrmaßnahmen des ChatGPT-Entwicklers offenzulegen, wie am Donnerstag vom Wall Street Journal berichtet wurde.

Ein dreiköpfiges Team von Hacktron AI führte den Exploit im Rahmen von OpenAIs Bug-Bounty-Programm durch. Nach der Meldung ihrer Ergebnisse erhielt das Startup eine Belohnung von 6.500 US-Dollar. Durch die Verknüpfung zweier kritischer Schwachstellen erlangte das Team Zugriff auf mehrere ChatGPT-Konten von OpenAI-Mitarbeitern und durchbrach damit die interne Softwareinfrastruktur des Unternehmens.

OpenAI gibt an, dass die von Hacktron identifizierten Schwachstellen behoben wurden, ein Schritt, der mit der zunehmenden Überprüfung führender KI-Unternehmen hinsichtlich ihrer Sicherheitsprotokolle zusammenfällt.

Dieses Ereignis folgt auf jüngste Vorfälle, bei denen OpenAIs eigene KI-Agenten während Cybersicherheitsbewertungen die Isolation durchbrachen und Hugging Face hackten, was die wachsende Autonomie von KI-Modellen verdeutlicht. Es zeigt auch, wie kommerzielle Standardtechnologie genutzt werden kann, um Schwachstellen selbst in den fortschrittlichsten Unternehmensinfrastrukturen zu identifizieren.

„Für nur 200 US-Dollar im Monat kann jeder diese Tools nutzen, um in ein Unternehmen wie OpenAI einzudringen“, sagte Matt Fredrikson, CEO des KI-Sicherheitsunternehmens Gray Swan, gegenüber TechCrunch. „Wenn es ihnen passieren kann – und ich glaube nicht, dass sie in Bezug auf ihre Cybersicherheitsgrundlagen in letzter Zeit fahrlässig waren – kann es jeden treffen.“

Wie ein KI-Kommentator in den sozialen Medien bemerkte: „[Hacktron] nutzte Opus 5, um den Hack durchzuführen… Die drängende Frage ist, wenn diese drei Personen dies erreichen können, was könnte dann ein Staatsschutz leisten.“

Die Forscher identifizierten am 25. Juli einen Einstiegspunkt in OpenAI durch eine Schwachstelle in Discourse, der Drittanbietersoftware, die das Community-Forum von OpenAI betreibt.

Laut einem Blogbeitrag der Forscher war der erste Angriffsweg ein routinemäßiger Bildupload. Wenn Nutzer HEIF- oder HEIC-Bilddateien (das Standardformat für iPhones) im Forum hochluden, verarbeitete Discourse sie über eine Reihe von Backend-Tools, um sie in Standard-JPEGs umzuwandeln. Der erste Schritt beinhaltete ImageMagick, ein seit Langem bestehendes Open-Source-Tool zur Bildgrößenanpassung. Da ImageMagicks Standard-Toolkit das Format von Apple nicht verarbeiten kann, delegierte es die Decodierungsaufgabe an eine andere Bibliothek, libheif.

Versteckt in libheif befand sich ein Speicherfehler, der es einem Angreifer ermöglichte, bösartige Anweisungen einzuschleusen. Indem sie der Bibliothek ein speziell angefertigtes Bild zuführten, veranlassten die Forscher sie, die Positionierung eines Bildes über einem anderen falsch zu berechnen, was es ihnen letztendlich ermöglichte, den Server zu übernehmen.

Was die Cybersicherheitsgemeinschaft beunruhigen könnte, ist, dass dieser Fehler von den Entwicklern von libheif bereits vor Monaten behoben wurde. Die Korrektur wurde jedoch nie offiziell als Schwachstelle klassifiziert, was bedeutete, dass sie keine CVE-Nummer (Common Vulnerabilities and Exposures) erhielt, den Industriestandard zur Verfolgung bekannter Sicherheitslücken. Hacktron deutet darauf hin, dass diese Übersehenheit erklären könnte, warum Discourse noch die anfällige Version der Software ausführte.

Bemerkenswerterweise berichteten die Forscher, dass das von ihnen verwendete Claude-Modell – eine spezialisierte Version von Opus 4.8, die für Cybersicherheitsforscher bereitgestellt wurde – anfangs nicht in der Lage war, einen funktionierenden Exploit zu generieren. Dies änderte sich über Nacht nach der Veröffentlichung von Opus 5 durch Anthropic.

„Opus 4.8 hatte über mehrere Sitzungen hinweg Schwierigkeiten, einen funktionierenden Exploit zu erzeugen“, schrieb Hacktron in einem Blogbeitrag. „Stunden nach der Veröffentlichung von Opus 5 stellten wir ihm dasselbe Problem, und es war erfolgreich.“

Sobald sie auf dem Discourse-Server waren, entdeckten die Forscher eine weitere Schwachstelle, die es ihnen ermöglichte, die Kontrolle über die ChatGPT- und Codex-Konten der Nutzer zu übernehmen, einschließlich derer von OpenAI-Mitarbeitern.

„Wir übernahmen dann das Konto eines OpenAI-Mitarbeiters, dessen Codex mit der Github-Organisation von OpenAI verbunden war“, schrieb Hacktron in ihrer Zusammenfassung des Vorfalls.

In diesem Stadium benachrichtigten die Forscher sowohl OpenAI als auch Discourse, wobei Letzteres am 27. Juli eine Korrektur herausgab.

Dieser Vorfall verdeutlicht die Grenzen der Modellfähigkeiten. Claude Opus 5, die Version, die den Fehler erfolgreich ausnutzte, unterlag keinen Sicherheitsexportbeschränkungen, im Gegensatz zum neueren Mythos 5, der aufgrund von Bedenken hinsichtlich seines fortschrittlichen Hacking-Potenzials vorübergehend eingeschränkt wurde.

Dies sind lediglich geschlossene Modelle. Open-Weight-Modelle schließen die Lücke in den Cybersicherheitsfähigkeiten zu Front-Modellen zunehmend. So fand das gemeinnützige KI-Sicherheitsunternehmen SaferAI kürzlich, dass die GLM-5.2 des chinesischen Unternehmens Z.ai in Bezug auf Cybersicherheitsfähigkeiten nur wenige Monate hinter OpenAIs GPT-5.5 und Anthropics Claude Opus 4.7 zurücklag.

Wie Hacktron-Gründer Mohan Pedhapati auf X erklärte: „KI reduziert die Menge an knapper Expertise, die für die Entwicklung von Exploits erforderlich ist. Arbeiten, die einst Monate dauerten, können nun in Tagen erledigt werden.“