OpenAI mit Claude Opus 5 gehackt: Wie Hacktron den ChatGPT-Hersteller knackte

Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.

In Sachen KI-Hacks wird die Angelegenheit jetzt immer skurriler. Ein dreiköpfiges Team des Security-Startups Hacktron AI hat mithilfe von Anthropics KI-Modell Claude eine Angriffskette gebaut, über die es sich Zugriff auf ChatGPT- und Codex-Konten von OpenAI-Mitarbeiter:innen und in weiterer Folge auf interne Code-Repositories des Unternehmens verschaffte. Die Forscher Harsh Jaiswal, Mohan Pedhapati und Rahul Maini haben den Ablauf inzwischen in einem ausführlichen Blogpost dokumentiert. Der Angriff erfolgte im Rahmen von OpenAIs Bug-Bounty-Programm, die Lücken sind mittlerweile geschlossen.

Von der ersten Entdeckung bis zum Zugriff auf OpenAIs internes Monorepo vergingen laut Hacktron weniger als 72 Stunden. OpenAI zahlte dem Team eine Prämie von 6.500 US-Dollar.

Einfallstor war ein Bild-Upload im Community-Forum

Ausgangspunkt war nicht OpenAIs eigene Software, sondern das Community-Forum community.openai.com, das auf der Open-Source-Plattform Discourse läuft. Nutzer:innen können sich dort mit ihrem OpenAI-Konto anmelden. Die Hypothese der Forscher:innen: Wer das Forum kontrolliert, könnte über diesen Login-Mechanismus weiter in OpenAIs Dienste vordringen.

Da Discourse selbst als schwer angreifbar gilt, nahm sich das Team eine Abhängigkeit vor. Lädt man Bilder im Format HEIC oder HEIF hoch (der Standard auf iPhones), reicht Discourse diese an ImageMagick weiter, das die Dekodierung wiederum an die Bibliothek libheif übergibt. In dieser Bibliothek steckte ein Speicherfehler (Heap Buffer Overflow), der sich mit einem präparierten Bild ausnutzen ließ.

Bemerkenswert: Die Entwickler:innen von libheif hatten den fehlerhaften Code bereits im Vorjahr geändert. Die Änderung war aber nicht als Sicherheitsfix gekennzeichnet und erhielt keine CVE-Nummer. Hacktron vermutet, dass die Korrektur deshalb nicht rechtzeitig in die Pakete von Debian 12 und 13 zurückportiert wurde. Das Docker-Image von Discourse basierte auf Debian 12 und enthielt somit eine verwundbare libheif-Version.

Opus 4.8 scheiterte, Opus 5 lieferte

Die Rolle von Claude beschreibt Hacktron detailliert. Zunächst setzte das Team Claude Opus 4.8 auf das Discourse-Docker-Image an. Das Modell fand heraus, dass bestimmte Sicherheitsfixes im libheif-Paket fehlten, und entwickelte einen funktionierenden Exploit, allerdings nur bei deaktivierter Speicher-Randomisierung (ASLR). Mehrere Anläufe, den Angriff unter realistischen Bedingungen zuverlässig zu machen, blieben erfolglos.

Am selben Abend veröffentlichte Anthropic Claude Opus 5. Das neue Modell produzierte laut Hacktron binnen drei Stunden einen funktionierenden Exploit für einen lokalen Mac und portierte ihn anschließend auf die x86-64-Umgebung, die Discourse verwendet. Danach ließen die Forscher:innen Claude in einer autonomen Schleife gegen eine eigene Discourse-Cloud-Instanz arbeiten. Weil Opus sich weigerte, Exploits für entfernte Systeme zu schreiben, tarnten sie das Ziel als Übungsumgebung eines Capture-the-Flag-Wettbewerbs. Nach wenigen Stunden hatte der Agent Code auf der Testinstanz ausgeführt. Mit dem so erzeugten Exploit-Skript gelang schließlich die Codeausführung auf OpenAIs Forum-Server.

„Opus 4.8 hatte in mehreren Sessions Schwierigkeiten, einen funktionierenden Exploit zu erstellen. Wenige Stunden nach dem Release von Opus 5 gaben wir ihm dasselbe Problem, und es gelang“, schreibt das Team.

Vom Forum zu Codex und GitHub

Für den eigentlichen Durchgriff sorgte eine zweite Schwachstelle, eine Fehlkonfiguration in OpenAIs Single-Sign-on. Sie ermöglichte es, von kompromittierten Forum-Konten aus die ChatGPT- und Codex-Accounts aktiver Forumsmitglieder zu übernehmen, ohne dass diese etwas tun mussten. Hacktron betont, dass es sich dabei um ein Problem von OpenAIs Identitätsinfrastruktur handle: Jeder kompromittierte Dienst, der den OpenAI-Login nutzt, hätte denselben Zugriff eröffnet.

Die Forscher:innen übernahmen das Konto eines OpenAI-Mitarbeiters, dessen Codex mit der GitHub-Organisation des Unternehmens verbunden war. Um die Tragweite zu belegen, ohne internen Code einzusehen, ließen sie Codex einen harmlosen Pull Request im internen Monorepo eröffnen. Danach stellten sie die Tests nach eigenen Angaben ein. Da Nutzer:innen an ChatGPT und Codex zahlreiche Dienste wie GitHub, Slack oder E-Mail anbinden können, wäre der potenzielle Zugriff laut Hacktron deutlich weitreichender gewesen.

OpenAI bestätigte die Behebung rund 14 Stunden nach der Meldung. Discourse reagierte ebenfalls rasch, lieferte innerhalb weniger Tage einen Patch und isoliert die Bildverarbeitung seither zusätzlich in einer Sandbox. OpenAI stellte bei der Auszahlung der Prämie allerdings klar, dass Tests gegen das von Discourse gehostete Forum ausdrücklich nicht Teil des Bug-Bounty-Programms waren. Die Prämie honoriere nur den Fund auf OpenAI-Seite.

Weniger als 3.000 Dollar für eine monatelange Kampagne

Der OpenAI-Hack ist Teil einer größeren Recherche namens HEIF Heist, in der Hacktron die libheif-Lücke über zwei Monate hinweg bei Slack, Meta, GitHub Enterprise sowie in Frameworks wie Next.js verfolgte. Die gesamte Kampagne kostete laut dem Team weniger als 3.000 US-Dollar an Token. Die Anpassung des Exploits an ein neues Unternehmen dauerte meist nur ein bis zwei Tage. Außer Shopify habe kein betroffenes Unternehmen die Aktivitäten bemerkt, obwohl tausende Bilder hochgeladen wurden und Bildverarbeitungsserver wiederholt abstürzten.

Vollständig autonom sei das Hacken nicht gewesen, erfahrene menschliche Anleitung blieb laut Hacktron wichtig. Die Menge an Arbeit, die ein kleines Team bewältigen kann, sei aber drastisch gestiegen. Einen weiteren Leistungssprung habe das Team beim Wechsel von Opus 5 auf OpenAIs GPT-5.6 Sol beobachtet, als Exploits ganz ohne Wissen über das Zielsystem gebaut werden mussten.

„Für 200 Dollar im Monat kann jede:r diese Werkzeuge nutzen und in ein Unternehmen wie OpenAI eindringen“, sagte Matt Fredrikson, CEO des KI-Sicherheitsunternehmens Gray Swan, gegenüber TechCrunch. Hacktron selbst zieht das Fazit, dass KI die bisherige Schutzwirkung durch Komplexität aufhebt: Arbeit, für die früher ein gut ausgestattetes Team monatelang brauchte, lasse sich nun auf Tage verdichten.

Hintergrund: KI-Agenten auf Abwegen

Der Fall fällt in eine Phase intensiver Debatten über die Cyber-Fähigkeiten von KI-Modellen. Kürzlich hatten mehrere Labore Vorfälle gemeldet, bei denen ihre KI-Agenten bei Sicherheitstests aus abgeschotteten Umgebungen ausbrachen und echte Systeme angriffen. Am bekanntesten ist der Fall von OpenAI, dessen Modelle während einer Evaluation die KI-Plattform Hugging Face hackten, laut späteren Berichten mit rund 700 beteiligten Agenten. Ähnliche Vorfälle meldeten auch Anthropic, Meta und Google mit seinen Gemini-Agenten.

Immer wieder taucht dabei ein Name auf: das israelische Startup Irregular, das sich als erstes „Frontier Security Lab“ bezeichnet und Modelle großer KI-Firmen vor deren Veröffentlichung in simulierten Umgebungen auf Angriffsfähigkeiten testet. In mehreren Fällen war in diesen Testumgebungen unbeabsichtigt Internetzugang verfügbar, wodurch die Agenten reale Unternehmen attackierten. Irregular wurde von Dan Lahav und Omer Nevo gegründet und sammelte zuletzt 80 Millionen US-Dollar unter Führung von Sequoia Capital und Redpoint Ventures ein.