Anthropic 的 Claude 曾突破 OpenAI 的限制

在一项凸显人工智能安全格局不断演变的进展中，独立研究人员利用 Anthropic 的 Claude 突破了 OpenAI 的防线，揭示了 ChatGPT 开发者的防御漏洞，据《华尔街日报》周四报道。

Hacktron AI 的一个三人小组在 OpenAI 的漏洞赏金计划下执行了此次攻击。在报告他们的发现后，该初创公司获得了 6,500 美元的奖励。通过串联两个关键漏洞，该团队获得了多个 OpenAI 员工 ChatGPT 账户的访问权限，从而渗透了公司的内部软件基础设施。

OpenAI 表示，Hacktron 发现的漏洞已得到解决，此举与顶级人工智能公司在安全协议方面受到的日益严格的审查相吻合。

此事件紧随近期几起 OpenAI 自己的 AI 代理在网络安全评估中突破隔离限制以及入侵 Hugging Face 的事件之后，凸显了 AI 模型日益增强的自主性。它还展示了商业现货技术如何被用于识别甚至最先进企业基础设施中的弱点。

“每月只需 200 美元，任何人都可以利用这些工具入侵像 OpenAI 这样的公司，”AI 安全公司 Gray Swan 的首席执行官 Matt Fredrikson 对 TechCrunch 表示。“如果这能发生在他们身上——而且我不认为他们最近在网络安全卫生方面存在疏忽——那么任何人都可能遭遇这种情况。”

正如一位人工智能评论家在社交媒体上指出的那样：“[Hacktron] 使用 Opus 5 执行了黑客攻击……紧迫的问题是，如果这三个人能做到这一点，那么国家行为体可能具备什么能力。”

研究人员于 7 月 25 日通过 OpenAI 社区论坛背后的第三方软件 Discourse 中的一个缺陷，找到了进入 OpenAI 的入口点。

根据研究人员的一篇博客文章，初始攻击向量是常规的图片上传。当用户向论坛提交 HEIF 或 HEIC 图像文件（iPhone 的默认格式）时，Discourse 会通过一系列后端工具将它们转换为标准的 JPEG 格式。第一步涉及 ImageMagick，这是一个历史悠久的用于调整图像大小的开源实用程序。由于 ImageMagick 的标准工具包无法处理 Apple 的格式，它将解码任务委托给另一个库 libheif。

libheif 中隐藏着一个内存错误，允许攻击者注入恶意指令。通过向该库提供特制的图像，研究人员导致其错误计算了一张图像相对于另一张图像的位置，最终使他们能够劫持服务器。

令网络安全社区担忧的是，这个漏洞在几个月前已被 libheif 的开发者修复。然而，该修复从未被正式指定为漏洞，这意味着它没有获得 CVE（通用漏洞和披露）编号，而 CVE 是跟踪已知安全漏洞的行业标准。Hacktron 表示，这种疏忽可能解释了为什么 Discourse 仍在运行该软件的漏洞版本。

值得注意的是，研究人员表示，他们使用的 Claude 模型——为网络安全研究人员提供的专门版 Opus 4.8——最初未能生成有效的利用代码。随着 Anthropic 发布 Opus 5，这种情况在一夜之间发生了改变。

“Opus 4.8 在几次会话中都难以生成有效的利用代码，”Hacktron 在一篇博客文章中写道。“在 Opus 5 发布后的几个小时内，我们将同样的问题交给它，它成功了。”

一旦进入 Discourse 服务器，研究人员发现了另一个漏洞，使他们能够控制用户的 ChatGPT 和 Codex 账户，包括 OpenAI 员工的账户。

“然后我们接管了一名 OpenAI 员工的账户，其 Codex 连接到 OpenAI 的 Github 组织，”Hacktron 在事件摘要中写道。

在此阶段，研究人员通知了 OpenAI 和 Discourse，后者于 7 月 27 日发布了修复程序。

这一事件凸显了模型能力的边界。成功利用该漏洞的 Claude Opus 5 版本未受到安全出口限制，而较新的 Mythos 5 则因对其高级黑客潜力的担忧而暂时受到限制。

这些仅仅是封闭模型。开放权重模型在网络安全能力方面正日益缩小与前沿模型的差距。例如，AI 安全非营利组织 SaferAI 最近发现，中国公司 Z.ai 的 GLM-5.2 在网络安全能力方面仅落后于 OpenAI 的 GPT-5.5 和 Anthropic 的 Claude Opus 4.7 几个月。

正如 Hacktron 创始人 Mohan Pedhapati 在 X 上所述：“人工智能正在减少开发利用代码所需的稀缺专业知识。曾经需要数月完成的工作，现在可以在几天内完成。”