پژوهشگران شرکت امنیتی Hacktron موفق شدند با استفاده از مدل Claude، یک اکسپلویت (Exploit) کاربردی برای یک آسیب‌پذیری در کتابخانه پردازش تصویر توسعه دهند. این تیم سپس با زنجیر کردن (Chaining) این نقص با یک ضعف در سیستم Sign-in شرکت OpenAI، توانستند حساب‌های کاربری کارکنان در سرویس‌های ChatGPT و Codex را تسخیر کرده و در نهایت به مخازن کد (Code Repositories) داخلی این شرکت دسترسی پیدا کنند.
مسیر نفوذ: از تالار گفتگو تا دسترسی سیستمی
نقطه ورود این حمله، تالار گفتگوی جامعه OpenAI بود که بر پایه پلتفرم Discourse اجرا می‌شود. بررسی‌ها نشان داد که مکانیزم‌های بررسی تصویر در Discourse از فرمت‌های HEIC/HEIF پشتیبانی نمی‌کردند؛ در نتیجه، فایل‌های ارسالی با این فرمت به ImageMagick منتقل می‌شدند. این موضوع باعث فعال شدن یک نقص امنیتی اصلاح‌نشده در کتابخانه libheif شد.
نکته قابل توجه این است که این باگ یک سال پیش در سطح Upstream اصلاح شده بود، اما چون به عنوان یک مسئله امنیتی علامت‌گذاری نشده بود، هیچ CVEای به آن اختصاص نیافت و در چرخه‌های معمول Patching نادیده گرفته شد.
نقش هوش مصنوعی در توسعه اکسپلویت
تبدیل این نقص به یک اکسپلویت قابل اتکا، چندین تلاش را می‌طلبید که در این مسیر از مدل‌های Claude Opus 4.8 و Opus 5 استفاده شد. این اکسپلویت امکان اجرای کد از راه دور (RCE) را فراهم کرد که ابتدا روی یک نمونه آزمایشی Discourse و سپس روی تالار گفتگوی OpenAI اجرا شد.
تصاعد دسترسی و تسخیر حساب‌ها
به دلیل اینکه کاربران می‌توانستند با حساب‌های OpenAI خود وارد تالار گفتگو شوند، اجرای کد در این محیط مسیری برای دسترسی گسترده‌تر به حساب‌ها ایجاد کرد. پژوهشگران دریافتند که توکن‌های Sign-in تولید شده برای تالار گفتگو، دارای مجوزهای بیش از حد (Excessive Permissions) بودند و دسترسی کامل API به حساب‌های ChatGPT و Codex را فراهم می‌کردند.
این ضعف امنیتی به صورت تئوریک می‌توانست دسترسی به سرویس‌های متصل دیگر مانند GitHub، Slack و ایمیل‌های سازمانی را نیز ممکن سازد. برای اثبات این موضوع، تیم Hacktron حساب یکی از کارکنان OpenAI را که دسترسی Codex آن به سازمان GitHub متصل بود، تسخیر کرده و یک Pull Request در یک مخزن داخلی ایجاد کردند.
پاسخ OpenAI و اقدامات اصلاحی
شرکت OpenAI پس از گزارش این مورد از طریق پلتفرم Bugcrowd، ظرف ۱۴ ساعت نقص مربوط به توکن‌ها را برطرف کرد. همچنین Discourse نیز طی دو روز، اصلاحات لازم را اعمال کرده و برای لایه‌های دفاعی بیشتر، Sandboxing را برای پردازش تصاویر اضافه کرد. OpenAI در نهایت مبلغ ۶,۵۰۰ دلار به عنوان پاداش (Bounty) به تیم Hacktron پرداخت نمود.
