«Белые хакеры» с помощью системы Claude от Anthropic взломали OpenAI за 72 часа

Цепочка, звено за звеном

Уязвимая библиотека «libheif» в программном обеспечении форума Discourse позволяла удаленно выполнять код (RCE) на самом форуме. Оттуда команда переключилась на уязвимость в процессе единого входа (SSO) OpenAI, захватила аккаунт ChatGPT одного из сотрудников и проникла в среду Codex, подключенную к организации OpenAI на GitHub.

Это открыло доступ к монорепозиторию openai/openai, откуда исследователи (связанные со стартапом Hacktron AI, специализирующимся на безопасности) создали безобидный пулл-реквест, чтобы доказать, что они проникли внутрь, но не стали изучать конфиденциальный исходный код.

Работа была проведена в конце июля; 25 июля команда сообщила об обнаруженном через программу Bugcrowd компании OpenAI, и уязвимость была исправлена в тот же день; Discourse опубликовала своё предупреждение 28 июля, присвоив уязвимости уровень серьезности 8,8 по шкале CVSS (Common Vulnerability Scoring System), а вся эта история стала достоянием общественности только 17 сентября, когда о ней сообщила газета Wall Street Journal.

Достаточно было всего лишь изменить модель

Интересно не то, что у OpenAI была ошибка, ведь каждая компания-разработчик программного обеспечения время от времени сталкивается с ними. Интересно то, что именно позволило преодолеть разрыв между обнаружением уязвимости и её использованием в злонамеренных целях.

Сначала команда попробовала Claude Opus 4.8, но сочла его ненадежным для этой задачи. Затем они перешли на Claude Opus 5, выпущенный 24 июля, и за несколько часов создали работающий эксплойт для ARM64, а после адаптировали его для сред x86-64 и jemalloc. Разработка эксплойта, использующего повреждение памяти, — это работа специалистов, на которую в прошлом у опытных специалистов уходили недели, но в данном случае вся цепочка событий развернулась менее чем за три дня.

Последствия для криптовалют

Криптовалюта — это сфера, где такие цифровые навыки могут приносить реальные деньги, а не просто «пул-реквесты». Что касается цифр, то на этой неделе Chainalysis сообщила, что злоумышленники по всему миру публикуют инструкции по использованию вредоносного ПО в публичных блокчейнах на 440 % чаще, чем год назад, при этом ежедневное количество вредоносных записей в цепочке выросло с 2,06 до 11,1.

Компания связала этот скачок с серединой 2025 года, когда были запущены китайские модели с открытым весом без значимых защитных механизмов против записи вредоносного кода, и назвала эту технику «блокчейн-дед-дропами», т. е. инструкциями управления, размещёнными в реестре, который никто не может изъять или отключить. К второму кварталу 2026 года на долю операторов, связанных с государством, из Северной Кореи и Ирана приходилось примерно две трети новой активности и около половины общего объема.

Исследователи, отслеживающие северокорейскую группировку Kimsuky, обнаружили, что на инфраструктуре этой группировки были установлены локальные платформы крупных языковых моделей (LLM), включая Ollama, GPT4All и Msty, наряду с фишинговыми приманками, сгенерированными ИИ и нацеленными на виртуальные активы и объекты финансовых инвестиций. Blockaid насчитал 212 эксплойтов в цепочке блоков на сумму 1,1 млрд долларов на фоне ускорения атак с использованием ИИ и на кошельки, а Defillama зафиксировала апрель 2026 года как самый взломанный месяц в истории криптовалют с 30 инцидентами.

Те, кто защищается от этих атак, испытывают все большее давление: Coinbase недавно предупредила, что количество сообщений об ошибках может утроиться в ближайшем будущем, поскольку ИИ наводняет программы раскрытия уязвимостей «шумом» — это неудобное следствие того, что вознаграждения в размере 6 500 долларов достаточно, чтобы выявить цепочку из трех этапов в крупной лаборатории.

Тем не менее разработка эксплойтов становится массовой услугой, и, судя по цифрам, её распространенность будет только расти.