«Білі хакери» використали систему Claude від Anthropic, щоб проникнути в OpenAI за 72 години

Ланцюг, ланка за ланкою

Вразлива бібліотека «libheif» у програмному забезпеченні форуму Discourse дозволила віддалене виконання коду (RCE) безпосередньо на самому форумі. Звідти команда перейшла до уразливості в процесі єдиного входу (SSO) OpenAI, захопила обліковий запис співробітника в ChatGPT і отримала доступ до середовища Codex, підключеного до організації OpenAI на GitHub.

Це відкрило монорепозиторій openai/openai, звідки дослідники (афілійовані зі стартапом з безпеки Hacktron AI) створили нешкідливий запит на злиття (pull request), щоб довести, що вони опинилися всередині, і не стали досліджувати конфіденційний вихідний код.

Ця робота відбулася наприкінці липня: 25 липня команда повідомила про ці події через програму Bugcrowd від OpenAI, і вразливість було виправлено того ж дня; 28 липня Discourse опублікував своє попередження, присвоївши уразливості рівень серйозності 8,8 за шкалою CVSS (Common Vulnerability Scoring System), але вся ця історія стала публічною лише 17 вересня, коли про неї повідомило видання Wall Street Journal.

Потрібно було лише змінити модель

Цікавим є не те, що в OpenAI була помилка, адже кожна компанія-розробник програмного забезпечення час від часу стикається з ними. Цікаво те, що саме дозволило подолати розрив між виявленням помилки та її використанням у зловмисних цілях.

Спочатку команда спробувала Claude Opus 4.8, але визнала його ненадійним для виконання цього завдання. Потім вони перейшли на Claude Opus 5, випущений 24 липня, і за лічені години створили діючий експлойт для ARM64, а потім адаптували його для середовищ x86-64 та jemalloc. Розробка експлойтів, що спричиняють пошкодження пам’яті, — це спеціалізована робота, на яку кваліфікованим фахівцям зазвичай знадобилися б тижні, але в цьому випадку вся послідовність подій розгорнулася менш ніж за три дні.

Наслідки для криптосфери

Саме у сфері криптовалют така цифрова майстерність може приносити гроші, а не лише прості запити на внесення змін. Що стосується цифр, то Chainalysis повідомила цього тижня, що зловмисники по всьому світу публікують інструкції щодо шкідливого програмного забезпечення у публічних блокчейнах на 440% частіше, ніж рік тому, а щоденна кількість шкідливих записів у ланцюгу зросла з 2,06 до 11,1.

Компанія пов’язала цей стрибок із серединою 2025 року, коли були запущені китайські моделі з відкритою вагою без значущих захисних механізмів проти запису шкідливого коду, і назвала цю техніку «мертвими точками» блокчейну, тобто інструкціями управління, розміщеними в реєстрі, які ніхто не може вилучити або відключити. До другого кварталу 2026 року оператори, пов’язані з державами Північної Кореї та Ірану, становили приблизно дві третини нової активності та близько половини загального обсягу.

Дослідники, які відстежували північнокорейську групу Kimsuky, виявили, що на інфраструктурі цієї групи були встановлені місцеві платформи великих мовних моделей (LLM), зокрема Ollama, GPT4All та Msty, а також створені за допомогою ШІ фішингові приманки, спрямовані на об’єкти у сфері віртуальних активів та фінансових інвестицій. Blockaid нарахував 212 експлойтів у ланцюжку блоків на суму 1,1 млрд доларів у міру прискорення атак на ШІ та гаманці, а Defillama зафіксувала квітень 2026 року як місяць із найбільшою кількістю зломів у криптосфері за всю історію — 30 інцидентів.

Ті, хто захищається від цих атак, відчувають дедалі більший тиск: нещодавно Coinbase попередила, що кількість повідомлень про помилки може потроїтися в найближчому майбутньому, оскільки ШІ завалює програми розкриття інформації «шумом» — це незручний наслідок того, що винагороди у розмірі 6 500 доларів вистачає для виявлення триетапного ланцюжка в роботі великої лабораторії.

Незважаючи на це, розробка експлойтів стає основною комерційною послугою, і, судячи з цифр, її поширеність буде лише зростати.