นักวิจัย 3 คนใช้ Claude และ HEIF เจาะเข้าระบบของ OpenAI

ทีมวิจัยอิสระสามคนจาก Hacktron รายงานว่าพวกเขาใช้ไฟล์ภาพ HEIF ที่ถูกทำลายรูปแบบร่วมกับซอฟต์แวร์ฟอรัม Discourse เพื่อเจาะบัญชีพนักงานของ OpenAI โดยใช้โมเดล Anthropic’s Claude Opus 4.8 และ Claude Opus 5 เป็นส่วนหนึ่งของกระบวนการทดลอง ตามรายงานของ The Wall Street Journal

ช่องโหว่และวิธีการ

ตามการเปิดเผย ทีมพบปัญหากับระบบประมวลผลภาพ HEIF ที่ Discourse ใช้ และสามารถนำไปสู่ RCE (remote code execution) บน Discourse Cloud ได้ ทำให้เข้าถึงอินสแตนซ์ฟอรัมของ OpenAI ได้สำเร็จ พวกเขาไม่ได้ดึงโค้ดภายในของ Monorepo มาตรวจสอบด้วยตัวเอง แต่ยืนยันการเข้าถึงด้วยการส่ง pull request จากบัญชี Codex ของพนักงานเป็นหลักฐาน

ระยะเวลา ผลกระทบ และต้นทุน

• ทีมบอกว่าใช้เวลาน้อยกว่า 72 ชั่วโมงตั้งแต่เริ่มจนสร้างช่องทางเข้าถึงได้ โดย Claude Opus 5 เปิดตัวในช่วงเย็นของวันที่ 24 กรกฎาคม และภายใน 10 โมงเช้าของวันถัดมาก็ทำ RCE ได้
• โปรเจกต์ที่ทีมเรียกว่า HEIF Heist ปรับให้ทำงานกับบริษัทและซอฟต์แวร์หลายราย เช่น Slack, Meta, GitHub Ent, Rails, Next.js, ImageMagick และอื่นๆ
• ค่าใช้จ่ายในการทดลองระบุว่าใช้ tokens น้อยกว่า 3,000 ดอลลาร์ และมีเป้าหมายที่ตรวจจับได้แค่เป้าหมายเดียวคือ Shopify

การตอบสนองและผลสรุป

Hacktron รายงานช่องโหว่ไปยัง Discourse และ OpenAI ซึ่งทั้งสองฝ่ายได้อุดช่องโหว่แล้ว OpenAI ยังจ่ายบั๊งตี้ให้ทีมเป็นเงิน 6,500 ดอลลาร์ โดย Mohan Pedhapati ซีทีโอของ Hacktron ให้ความเห็นกับสื่อว่า พวกเขาเป็นเพียงทีมเล็กๆ ที่ใช้ Claude และบัญชี Codex — ไม่ได้เทียบเท่ากับกลุ่มผู้จู่โจมที่มีทรัพยากรมาก

“I don’t think we are as strong as Chinese threat actors… We’re just three guys with Claude and Codex subscriptions.” — Mohan Pedhapati, Hacktron

เหตุการณ์นี้ชี้ให้เห็นสองประเด็นสำคัญ: ช่องโหว่ในส่วนประมวลผลไฟล์ภาพสามารถกลายเป็นทางเข้าระบบใหญ่ได้ และการใช้โมเดลภาษาเพื่อช่วยออกแบบขั้นตอนโจมตีทำให้กระบวนการโจมตีเร็วขึ้นและต้นทุนต่ำขึ้น

สถานะปัจจุบัน

ช่องโหว่ที่ทีมรายงานได้รับการแก้ไขแล้ว ตัว OpenAI ได้รับเงินบั๊งตี้จากทีมเพื่อแลกกับการเปิดเผยช่องโหว่ และไม่มีข้อมูลว่ามีการเข้าถึงโค้ดภายใน Monorepo จริงหรือไม่ นอกจากการส่ง pull request เป็นหลักฐานการเข้าถึงบัญชี