„Białe kapelusze” wykorzystały model Claude firmy Anthropic, by włamać się do OpenAI w ciągu 72 godzin

Łańcuch, ogniwo po ogniwie

Podatna na ataki biblioteka „libheif” w oprogramowaniu forum Discourse umożliwiła zdalne wykonanie kodu (RCE) na samym forum. Stamtąd zespół wykorzystał lukę w procesie pojedynczego logowania (SSO) OpenAI, przejął konto ChatGPT jednego z pracowników i dotarł do środowiska Codex połączonego z organizacją OpenAI na GitHubie.

Otworzyło to repozytorium openai/openai, skąd badacze (powiązani ze startupem zajmującym się bezpieczeństwem Hacktron AI) utworzyli nieszkodliwy pull request, aby udowodnić, że znaleźli się w systemie, i powstrzymali się od analizowania poufnego kodu źródłowego.

Wszystko to miało miejsce pod koniec lipca; zespół zgłosił te wydarzenia za pośrednictwem programu Bugcrowd firmy OpenAI 25 lipca, a luka została załatana tego samego dnia; Discourse opublikowało swoje ostrzeżenie 28 lipca, przypisując jej poziom zagrożenia 8,8 w skali CVSS (Common Vulnerability Scoring System), a cała sprawa wyszła na jaw dopiero 17 września, kiedy to poinformował o niej „Wall Street Journal”.

Wystarczyła zmiana modelu

Ciekawe nie jest to, że OpenAI miało błąd, ponieważ każda firma programistyczna od czasu do czasu się z nimi spotyka. Chodzi o to, co wypełniło lukę między wykryciem błędu a wykorzystaniem go do ataku.

Zespół najpierw wypróbował Claude Opus 4.8, ale uznał, że nie nadaje się on do tego zadania. Następnie przeszedł na wersję Claude Opus 5, wydaną 24 lipca, i w ciągu kilku godzin stworzył działający exploit dla architektury ARM64, a potem dostosował go do środowisk x86-64 i jemalloc. Tworzenie exploitów wykorzystujących uszkodzenie pamięci to specjalistyczna praca, która w przeszłości zajmowała wykwalifikowanym specjalistom tygodnie, ale w tym przypadku cała seria wydarzeń rozegrała się w mniej niż trzy dni.

Konsekwencje dla kryptowalut

W świecie kryptowalut takie umiejętności cyfrowe mogą przełożyć się na pieniądze, a nie tylko na zwykły pull request. Jeśli chodzi o liczby, firma Chainalysis poinformowała w tym tygodniu, że atakujący na całym świecie publikują instrukcje dotyczące złośliwego oprogramowania w publicznych łańcuchach bloków o 440% częściej niż rok temu, a dzienna liczba złośliwych zapisów w łańcuchu wzrosła z 2,06 do 11,1.

Firma powiązała ten skok z połową 2025 r., kiedy to wprowadzono chińskie modele typu open-weight bez znaczących zabezpieczeń przed zapisywaniem złośliwego kodu, i nazwała tę technikę „blockchain dead drops”, tj. instrukcjami typu „command-and-control” umieszczonymi w rejestrze, którego nikt nie może przejąć ani wyłączyć. W drugim kwartale 2026 r. operatorzy powiązani z rządem z Korei Północnej i Iranu odpowiadali za około dwie trzecie nowych działań i około połowy całkowitej aktywności.

Badacze śledzący północnokoreańską grupę Kimsuky odkryli lokalne platformy dużych modeli językowych (LLM), w tym Ollama, GPT4All i Msty, zainstalowane w infrastrukturze tej grupy wraz z generowanymi przez sztuczną inteligencję przynętami phishingowymi skierowanymi przeciwko celom związanym z aktywami wirtualnymi i inwestycjami finansowymi. Blockaid odnotował 212 exploitów w łańcuchu bloków o wartości 1,1 mld dolarów w miarę nasilania się ataków opartych na sztucznej inteligencji i ataków na portfele, a Defillama odnotowała kwiecień 2026 r. jako miesiąc, w którym odnotowano najwięcej ataków hakerskich w historii kryptowalut – łącznie 30 incydentów.

Podmioty broniące się przed tymi atakami odczuwają coraz większą presję – Coinbase ostrzegło niedawno, że liczba zgłoszeń błędów może się w najbliższej przyszłości potroić, ponieważ sztuczna inteligencja zalewa programy ujawniania błędów szumem informacyjnym, co jest niepożądanym skutkiem ubocznym sytuacji, w której nagroda w wysokości 6 500 dolarów wystarcza do ujawnienia trzystopniowego łańcucha ataków w dużym laboratorium.

Niezależnie od tego tworzenie exploitów staje się powszechną usługą, a jeśli wierzyć statystykom, jego popularność będzie tylko rosnąć.