博客 详情

独立安全研究员借助 Anthropic 开发的 Claude 模型，成功侵入一名 OpenAI 员工的 ChatGPT 账户，并获取了该公司私有软件代码库的相关文档。这一消息由《华尔街日报》在9月18日报道。

此次行动由安全公司 Hacktron AI 的团队执行，该团队此前参与了 OpenAI 的漏洞赏金计划。该计划为研究人员提供法律保护，允许其在授权范围内尝试攻破企业系统。发现漏洞后，团队迅速向 OpenAI 报告，OpenAI 随后支付了 6500 美元（按当前汇率约合 43692 元人民币）的赏金。

OpenAI CEO 萨姆·奥尔特曼及其同行在9月13日呼吁暂停 AI 开发，认为其推进速度过快，可能对全人类构成威胁。

9月16日，OpenAI 披露了一起此前未报告的安全事件，并发布了新的安全事件报告政策。在此背景下，OpenAI 总裁格雷格·布罗克曼表示，公司已从现有项目中抽调约 25% 的生产工程师，集中用于安全防护和架构加固。

Hacktron AI 首席技术官 Mohan Pedhapati 指出，此次攻击表明，由国家支持的高级网络团队确实有机会窥探美国的 AI 机密。他说道：“我不觉得我们比其他国家威胁者更聪明。我们只是三个拥有 Claude 和 Codex 订阅的人。”

OpenAI 确认，黑客发现了两处问题：一处位于托管 OpenAI 社区论坛的第三方服务 Discourse，另一处涉及 OpenAI 自身。目前，这两个问题均已得到修复。

OpenAI 表示：“我们感谢研究人员联系我们并分享其发现。我们已缩小社区登录 token 的权限范围，并撤销了受影响的 token 和会话。”Anthropic 发言人则拒绝发表评论。

此次入侵始于7月23日。Hacktron 研究人员当天发现了 Discourse 在处理特定图像文件方式上的漏洞。研究人员当时使用了面向合格网络安全从业者提供的 Claude Opus 4.8 特殊版本，并要求其编写利用该漏洞的攻击代码。首次尝试未能成功。随后，Anthropic 在当晚发布了 Opus 5，次日 Claude 便找到了利用该漏洞的方法。

被利用的漏洞编号为 CVE-2026-45788，属于 Discourse 安全上传功能中的无限制上传漏洞。攻击者在知晓受保护上传 URL 的情况下，可以暴露安全上传内容，无需身份验证即可远程发起攻击。Discourse 表示，其在7月25日接到通知当天便修复了该漏洞。

此次攻击使研究人员能够访问托管 OpenAI 论坛的 Discourse 服务器，并获取账户登录 token。令他们意外的是，这些 token 在 ChatGPT 上同样有效，其中包括属于 OpenAI 员工的账户。此外，相关 token 还可用于访问 OpenAI 的 GitHub 服务。

由于不愿访问敏感数据，研究人员无法确定 OpenAI 源代码系统的具体用途，仅表示该系统名为“Monorepo”。

据知情人士透露，Monorepo 是 OpenAI 存放算法机密的大型软件仓库，相当于该公司的“秘方”，用于使模型更快、更高效，但不包含模型权重。

研究人员以 ChatGPT 为界面，能够读取 Monorepo 中的文件。他们在意识到可访问敏感数据后停止了攻击，但此前已提交了一个“拉取请求”——向仓库中的文档文件建议更改，内容包括“Hacktron AI Team PoC”字样以及 Pedhapati 和公司研究主管 Harsh Jaiswal 的 X 账户链接，作为其已获取访问权限的证明（该建议未被接受）。

OpenAI 表示，对 GitHub 的审查发现了对私有仓库元数据和代码更改的“有限读取”。AI 安全公司 Abundant Security 首席技术官 Joshua Saxe 在审阅 Hacktron AI 的事件报告后表示，此次攻击表明在 AI 时代保护企业机密的复杂性。“所有的软件都充斥着安全漏洞。我们尚未发现全部漏洞的原因在于，直到去年还只有几千个漏洞挖掘专家。”得益于 AI，现在普通人也能获得这种能力。

网络安全公司 ThreatDown 表示，犯罪分子也在获取这些能力。在网络论坛上，人们可以低至 800 美元（按当前汇率约合 5377 元人民币）的价格购买 Hacktron 研究人员所用此类增强型网络账户的非法访问权限。