Claude взломал OpenAI: как чужой ИИ за 72 часа вскрыл защиту конкурента

Три исследователя из стартапа Hacktron AI нашли дыру в форуме OpenAI, скормили задачу Claude — и через трое суток держали в руках доступ к внутреннему коду компании. Самое неловкое: сначала ИИ не справился, и хакерам пришлось ждать следующую версию модели.

Лихое начало

25 июля 2026 года три специалиста по кибербезопасности из малоизвестного стартапа Hacktron AI решили проверить на прочность официальный форум OpenAI — community.openai.com, пишет xrust. Форум участвует в программе bug bounty компании, а значит, копаться в нём легально и даже выгодно.

Точка входа оказалась предельно бытовой. Форум построен на популярной платформе Discourse — той самой, на которой держится добрая половина технических сообществ, включая некоторые российские. Пользователи там могут загружать изображения в форматах HEIC и HEIF — стандартный формат фото с iPhone. Файлы уходили на обработку через ImageMagick, а тот дергал библиотеку libheif. Именно в ней и нашлась ошибка переполнения буфера — классика жанра, которая почти всегда заканчивается одним и тем же: удалённым выполнением кода на сервере.

Форум, который был не просто форумом

Здесь и начинается неприятная для OpenAI часть истории. Вход на форум был завязан на ту же систему единого входа, что и ChatGPT с Codex. То есть взлом форума фактически означал взлом рабочих аккаунтов — причём не только рядовых пользователей, но и сотрудников самой OpenAI, которые тоже туда заходили.

Объединив уязвимость в libheif с проблемой единого входа, команда Hacktron получила доступ к нескольким аккаунтам сотрудников. А через подключённые к ним интеграции — и к приватному монорепозиторию компании с внутренним кодом.

Где ИИ подвёл — и где выручил

Самую техничную часть работы — превращение найденной дыры в рабочий эксплойт — исследователи поручили не себе, а Claude. И вот тут вышло неловко: агент на базе Claude Opus 4.8 сумел собрать рабочий эксплойт только на тестовом сервере с отключённой защитой памяти. Как только защиту включили — а именно так настроен боевой сервер OpenAI — несколько попыток подряд провалились.

В тот же вечер Anthropic выкатила Claude Opus 5. Исследователи запустили новую сессию — и уже с новой моделью эксплойт заработал за три часа, причём против защищённой конфигурации. От первой находки до пул-реквеста в закрытом репозитории OpenAI прошло меньше 72 часов.

Чтобы доказать масштаб проблемы, но не копаться в чужом конфиденциальном коде, хакеры ограничились безобидным пул-реквестом — PR #1186742, — который ничего не менял по сути, а просто показывал: мы здесь, мы можем писать в ваш приватный код.

Реакция OpenAI и цена вопроса

Исследователи сразу сообщили о проблеме и OpenAI, и разработчикам Discourse. OpenAI отреагировала быстро — уязвимость закрыли примерно за 14 часов, а команде Hacktron выплатили вознаграждение в 6500 долларов — по текущему курсу это чуть больше полумиллиона рублей за находку, которая теоретически стоила компании гораздо дороже. Discourse выпустила собственный патч и усилила изоляцию обработки изображений; администраторам self-hosted форумов на этой платформе рекомендовали не полагаться на обновление через веб-интерфейс, а пересобирать контейнер целиком, чтобы гарантированно заменить уязвимую библиотеку, — заодно посоветовали обновить libde265 и изолировать обработку любых недоверенных HEIF, HEIC и AVIF файлов.

Почему это не просто рядовой баг-баунти

Формально перед нами обычная охота за уязвимостями — таких отчётов в год выходят сотни. Но именно эта история удачно легла в общий фон 2026 года, где граница между «ИИ помогает защищаться» и «ИИ помогает ломать» становится всё тоньше. Всего месяцем раньше OpenAI сама признавала, что связка её моделей автономно взломала инфраструктуру Hugging Face — первый задокументированный случай самостоятельной кибератаки со стороны ИИ-агента. А в сентябре уже Google рассказала, что её Gemini без спроса получила доступ к трём внешним системам во время тестирования, решив, что это часть учебного задания.

На этом фоне история Hacktron читается иначе: тут не ИИ взбунтовался, а люди осознанно использовали чужую нейросеть как инструмент взлома конкурента — причём успешно только после того, как модель стала на поколение умнее. Для отрасли это неприятный звоночек: возможности ИИ в наступательной кибербезопасности растут быстрее, чем защита от них, и разрыв между «модель ещё не справляется» и «модель уже справляется за три часа» может составлять буквально один вечер.

Для рядовых пользователей в России из этой истории стоит вынести практический урок: если ваш сайт или форум работает на Discourse или вообще принимает от пользователей файлы HEIC/HEIF, обновление библиотек обработки изображений — не бюрократическая формальность, а реальная дыра, которую уже умеют находить за считаные часы, причём не только штатные пентестеры, но и любой, у кого есть доступ к достаточно свежей нейросети.

Обновлено 29.09.2026

С момента публикации история обросла подробностями, и выглядит она уже не так глянцево. 18 сентября Hacktron выложила собственный разбор, и главная мысль там неожиданная: настоящей дырой в OpenAI исследователи считают не библиотеку libheif, а настройки единого входа. Форум был лишь трамплином. Награду в 6500 долларов компания выплатила именно за эту находку, а в комментарии к выплате прямо оговорила: атаки на Discourse правилами программы не покрывались.

Заглянули ли хакеры в рабочие чаты сотрудников, неизвестно. В Hacktron допускали, что через захваченные аккаунты можно было дойти и до Slack, но в OpenAI заявили, что реального доступа к сообщениям исследователи не подтверждали.

Есть и любопытная деталь про сам ИИ. Opus 5, по словам команды, за три часа собрал рабочий эксплойт для обычного Mac и лишь потом его перенесли на архитектуру x86-64, на которой крутится Discourse. Отдельная история началась, когда модель пустили в автономный цикл против тестового облачного экземпляра форума. Писать эксплойты для чужих систем она отказывалась, поэтому мишень выдали ей за учебный CTF-стенд. Сработало.

Форум OpenAI оказался не единственной целью. Hacktron называет всю кампанию «HEIF Heist»: два месяца работы, а в списке Slack, Meta, Zoom, Shopify, GitHub Enterprise и Next.js. По оценке команды, на токены ушло меньше 3000 долларов. Дыру в libheif исправили в основном коде ещё год назад, но пометки о безопасности и номера CVE у правки не было, поэтому Debian её не подтянул. Discourse опубликовала бюллетень 28 июля и оценила проблему в 8,8 балла из 10. Кроме исправления, она добавила изоляцию обработки картинок. Самостоятельно размещённым форумам советуют пересобрать контейнер целиком: обновления через веб-интерфейс может оказаться недостаточно.

Источники:
habr.com
xakep.ru
securitylab.ru