एक छोटी शोध टीम ने तीन बग्स को Anthropic के Claude Opus 5 से जोड़कर OpenAI की निजी कोड रिपॉजिटरी में प्रवेश कर लिया। पूरे काम में 72 घंटे से भी कम समय लगा, और OpenAI ने इसके लिए $6,500 का भुगतान किया।
व्हाइट हैट्स ने 72 घंटों में OpenAI में घुसने के लिए एंथ्रॉपिक के क्लॉड का इस्तेमाल किया।
लेखक
शेयर
मुख्य निष्कर्ष
- हैक्ट्रॉन एआई ने 25 जुलाई, 2026 को बगक्राउड के माध्यम से OpenAI चेन की रिपोर्ट की, और $6,500 का इनाम हासिल किया।
- क्लॉड ओपस 5 ने ओपस 4.8 के उसी कार्य में विफल होने के बाद कुछ ही घंटों में एक कार्यशील ARM64 एक्सप्लॉइट तैयार किया।
- Chainalysis ने प्रतिदिन 11.1 दुर्भावनापूर्ण ऑनचेन राइट्स दर्ज किए, जो पहले 2.06 थे, क्योंकि ओपन मॉडल फैल रहे हैं।
चेन, लिंक दर लिंक
फोरम सॉफ़्टवेयर, डिस्कोर्स के अंदर एक भेद्य 'libheif' लाइब्रेरी ने स्वयं फोरम पर रिमोट कोड एक्ज़ीक्यूशन (RCE) की अनुमति दी। वहाँ से टीम ने OpenAI के सिंगल साइन-ऑन (SSO) फ्लो में एक खामी का फायदा उठाया, एक कर्मचारी का ChatGPT खाता अपने नियंत्रण में कर लिया, और OpenAI के GitHub संगठन से जुड़े Codex वातावरण तक पहुँच गई।
इसने openai/openai मोनोरपो को खोल दिया, जहाँ से शोधकर्ताओं (जो सुरक्षा स्टार्टअप हैक्ट्रॉन एआई से संबद्ध हैं) ने यह साबित करने के लिए एक हानिरहित पुल रिक्वेस्ट खोला कि वे अंदर थे और उन्होंने संवेदनशील सोर्स कोड की जाँच करने से पहले ही रुक गए।
यह काम जुलाई के अंत में हुआ, टीम ने 25 जुलाई को OpenAI के बगक्राउड प्रोग्राम के माध्यम से इन घटनाक्रमों की सूचना दी और उसी दिन इस कमजोरियों को ठीक कर दिया गया; डिस्कोर्स ने 28 जुलाई को अपनी एडवाइजरी प्रकाशित की, जिसमें कॉमन वल्नरेबिलिटी स्कोरिंग सिस्टम (CVSS) की गंभीरता 8.8 बताई गई थी, और यह पूरा मामला 17 सितंबर को तब सार्वजनिक हुआ जब द वॉल स्ट्रीट जर्नल ने इसकी रिपोर्ट की।
एक मॉडल परिवर्तन ही पर्याप्त था
दिलचस्प बात यह नहीं है कि OpenAI में एक बग था क्योंकि हर सॉफ्टवेयर कंपनी को समय-समय पर उनका सामना करना पड़ता है। यह वह है जिसने एक बग खोजने और उसका हथियार बनाने के बीच की खाई को पाट दिया।
टीम ने पहले क्लॉड ओपस 4.8 को आज़माया लेकिन उसे इस काम के लिए अविश्वसनीय पाया। फिर वे 24 जुलाई को जारी क्लॉड ओपस 5 पर स्विच हुए, और कुछ ही घंटों में एक काम करने वाला ARM64 एक्सप्लॉइट तैयार किया, फिर इसे x86-64 और जेमैलोक (jemalloc) वातावरण के लिए अनुकूलित किया। मेमोरी-करप्शन एक्सप्लॉइट का विकास एक विशेषज्ञ का काम है, जिसमें पारंपरिक रूप से कुशल मनुष्यों को सप्ताह लग जाते थे, लेकिन इस मामले में, घटनाओं की पूरी श्रृंखला तीन दिनों से भी कम समय में सामने आ गई।
क्रिप्टो के लिए निहितार्थ
क्रिप्टो वह जगह है जहाँ इस तरह की डिजिटल दक्षता एक साधारण पुल रिक्वेस्ट के बजाय पैसे के रूप में सामने आ सकती है। संख्याओं के हिसाब से, चेनएनालिसिस ने इस सप्ताह रिपोर्ट किया कि दुनिया भर के हमलावर एक साल पहले की तुलना में सार्वजनिक ब्लॉकचेन पर मैलवेयर निर्देश 440% अधिक बार पोस्ट कर रहे हैं, और दैनिक दुर्भावनापूर्ण ऑनचेन राइट्स 2.06 से बढ़कर 11.1 हो गए हैं।
फर्म ने इस उछाल को मध्य-2025 से जोड़ा, जब बिना किसी सार्थक सुरक्षा उपाय के दुर्भावनापूर्ण कोड लिखने के लिए ओपन-वेटेड चीनी मॉडल लॉन्च किए गए थे, और इस तकनीक को ब्लॉकचेन डेड ड्रॉप्स कहा, यानी एक लेजर पर पार्क किए गए कमांड-एंड-कंट्रोल निर्देश जिन्हें कोई जब्त नहीं कर सकता या ऑफ़लाइन नहीं ले जा सकता। 2026 की दूसरी तिमाही तक, उत्तर कोरिया और ईरान के राज्य-संबद्ध ऑपरेटर नई गतिविधि का लगभग दो-तिहाई और कुल का लगभग आधा हिस्सा जिम्मेदार थे।
उत्तर कोरिया के किमसुकी (Kimsuky) पर नज़र रखने वाले शोधकर्ताओं ने पाया कि इस समूह के बुनियादी ढांचे पर ओलामा (Ollama), जीपीटी4ऑल (GPT4All) और एमएसटीवाई (Msty) सहित स्थानीय बड़े भाषा मॉडल (LLM) प्लेटफ़ॉर्म इंस्टॉल थे, और साथ में वर्चुअल संपत्ति और वित्तीय निवेश के लक्ष्यों को निशाना बनाने वाले एआई-जनित फ़िशिंग जाल भी थे। ब्लोकाइड ने गिनती की कि जैसे-जैसे एआई और वॉलेट हमले तेज हुए, 212 ऑनचेन एक्सप्लॉइट्स हुए, जिनका मूल्य 1.1 बिलियन डॉलर था, और डेफिलामा ने अप्रैल 2026 को 30 घटनाओं के साथ क्रिप्टो का अब तक का सबसे अधिक हैक होने वाला महीना दर्ज किया।
इन हमलों से अपनी रक्षा करने वाले लोग दबाव को लगातार महसूस कर रहे हैं, क्योंकि कॉइनबेस ने हाल ही में चेतावनी दी है कि निकट भविष्य में बग रिपोर्ट तीन गुना हो सकती हैं क्योंकि एआई खुलासा कार्यक्रमों में अवांछित सूचनाओं की बाढ़ ला देगा, जो इस बात का एक अजीब परिणाम है कि $6,500 का इनाम एक प्रमुख लैब में तीन-चरणीय चेन को उजागर करने के लिए पर्याप्त है।
फिर भी, एक्सप्लॉइट विकास एक प्रमुख वस्तु सेवा बनती जा रही है और अगर आंकड़ों को देखें तो, इसका प्रचलन केवल बढ़ता ही जाएगा।
यह लेख AI का उपयोग करके अंग्रेज़ी से अनुवादित किया गया था। मूल अंग्रेज़ी संस्करण आधिकारिक स्रोत है; स्वचालित अनुवादों में अशुद्धियाँ हो सकती हैं, विशेष रूप से कानूनी और नियामक शब्दावली में।
