Vulnerabilità sfruttate da ricercatori di Hacktron AI per accedere a sistemi OpenAI

Un team di tre ricercatori di Hacktron AI ha recentemente messo in luce gravi vulnerabilità nei sistemi di OpenAI, utilizzando il modello Claude (Opus 5) di Anthropic. Questo attacco, avvenuto nell’ambito di un programma bug-bounty, ha permesso ai ricercatori di accedere a più account ChatGPT appartenenti a dipendenti di OpenAI e a parti dell’infrastruttura aziendale.

Il 25 luglio, i ricercatori hanno sfruttato una falla nel software del forum della comunità, basato su Discourse, legata all’upload di file immagine nei formati HEIF/HEIC. Discourse, nel processo di conversione di questi file tramite ImageMagick e la libreria libheif, presentava un bug di memoria che portava a calcoli errati sulla posizione delle immagini sovrapposte, consentendo così di compromettere il server. Sebbene il difetto fosse stato corretto dagli sviluppatori di libheif mesi prima, la patch non era stata formalmente segnalata con un CVE, e la versione vulnerabile era ancora in uso.

I ricercatori hanno notato che il modello Opus 4.8 aveva difficoltà a generare un exploit funzionante, ma, sorprendentemente, entro poche ore dal rilascio di Opus 5, il modello è riuscito a produrlo. Una volta ottenuto l’accesso al server Discourse, hanno scoperto una seconda vulnerabilità che ha consentito il controllo di account ChatGPT e Codex, inclusi gli account di dipendenti OpenAI, uno dei quali era collegato all’organizzazione GitHub dell’azienda.

Discourse ha rilasciato una patch per risolvere la vulnerabilità il 27 luglio. Questo episodio mette in evidenza come modelli avanzati e strumenti commerciali possano semplificare notevolmente lo sviluppo di exploit, abbattendo le barriere di competenza necessarie. Matt Fredrikson, CEO della società di sicurezza Gray Swan, ha commentato che “per $200 al mese, chiunque può usare questi strumenti e hackerare una società come OpenAI”. Mohan Pedhapati, fondatore di Hacktron, ha aggiunto che “l’IA sta riducendo la quantità di competenze scarse necessarie per sviluppare exploit, trasformando un lavoro che prima richiedeva mesi in uno che ora può richiederne solo giorni”.

È interessante notare che Opus 5 non ha subito le restrizioni di esportazione che hanno colpito versioni successive come Mythos 5, che è stata temporaneamente limitata a causa di preoccupazioni sulle sue capacità di hacking. Anche i modelli a pesi aperti stanno contribuendo a ridurre il divario di capacità: ricerche di SaferAI indicano che il modello GLM-5.2 di Z.ai si colloca a pochi mesi di distanza rispetto a GPT-5.5 e Claude Opus 4.7.

Questo incidente si verifica in un contesto di crescente attenzione sulla sicurezza informatica, specialmente tra le aziende che sviluppano tecnologie di intelligenza artificiale, evidenziando la necessità di misure di sicurezza più robuste.