AI助手成攻击跳板：安全团队借Claude突破OpenAI防线获赏金

AI模型化身攻击工具，安全团队突破OpenAI防线

独立安全研究人员借助Anthropic的Claude模型，成功入侵了一名OpenAI员工的ChatGPT账户，并获取了该公司私有软件代码库的文档。涉事团队来自安全公司Hacktron AI，此前曾参与OpenAI的漏洞赏金计划。该计划为研究人员提供安全港，允许其在授权范围内尝试突破企业系统。团队在发现漏洞后迅速向OpenAI报告，OpenAI随后支付了6500美元（约合43692元人民币）赏金。

OpenAI CEO萨姆·奥尔特曼及其同行于9月13日呼吁暂缓AI开发，称其推进速度过快，可能对全人类造成危害。OpenAI于9月16日披露了此前未报告的安全事件，并宣布了新的安全事件报告政策。在此背景下，OpenAI总裁格雷格·布罗克曼表示，公司已从原有项目中抽调约25%的生产工程师，集中投入安全防护和架构加固工作。

漏洞利用细节：从Discourse到Monorepo

Hacktron AI首席技术官Mohan Pedhapati表示，此次攻击表明，由国家支持的高级网络团队确有真实机会窥探美国的AI机密。他称：“我不觉得我们比他国威胁者更聪明。我们只是三个拥有Claude和Codex订阅的人。”

OpenAI确认，黑客发现了两处问题：一处位于托管OpenAI社区论坛的第三方服务Discourse，另一处涉及OpenAI自身。截至目前，两处问题均已得到解决。OpenAI表示：“我们感谢研究人员联系我们并分享其发现。我们已缩小社区登录token的权限范围，并撤销了受影响的token和会话。”Anthropic发言人则拒绝置评。

此次入侵始于7月23日。Hacktron研究人员当天发现了Discourse处理特定图像文件方式的漏洞。研究人员当时可使用面向合格网络安全从业者提供的Claude Opus 4.8特殊版本，并要求其编写利用该漏洞的攻击代码。首次尝试未成功。然后，Anthropic当晚发布了Opus 5，次日Claude便找到了利用该漏洞的方法。

被利用的漏洞编号为CVE-2026-45788，属于Discourse安全上传功能中的无限制上传漏洞，攻击者可在知晓受保护上传URL的情况下暴露安全上传内容，无需身份验证即可远程发起攻击。Discourse称其已于7月25日接到通知当天修复该漏洞。

此次攻击使研究人员得以访问托管OpenAI论坛的Discourse服务器，并获取账户登录token。令他们没想到的是，这些token在ChatGPT上竟然有效，其中也包括属于OpenAI员工的那些账户。除此之外，相关token还可用于访问OpenAI的GitHub服务。

研究人员因不愿访问敏感数据，无法确定OpenAI源代码系统的具体用途，只表示该系统名为“Monorepo”。Monorepo是OpenAI存放算法机密的大型软件仓库，相当于该公司的“秘方”，用于使模型更快、更高效，但不包含模型权重。研究人员以ChatGPT为界面，可读取Monorepo中的文件。他们在意识到可访问敏感数据后停止了攻击，但此前已提交了一个“拉取请求”——向仓库中的文档文件建议更改，内容包括“Hacktron AI Team PoC”字样以及Pedhapati和公司研究主管Harsh Jaiswal的X账户链接，作为其已获取访问权限的证明（该建议未被接受）。

OpenAI表示，对GitHub的审查发现了对私有仓库元数据和代码更改的“有限读取”。AI安全公司Abundant Security首席技术官Joshua Saxe在审阅Hacktron AI的事件报告后表示，此次攻击表明在AI时代保护企业机密的复杂性。“所有的软件都充斥着安全漏洞。我们尚未发现全部漏洞的原因在于，直到去年还只有几千个漏洞挖掘专家。”得益于AI，现在普通人也能获得这种能力。

网络安全公司ThreatDown表示，犯罪分子也在获取这些能力。在网络论坛上，人们可以低至800美元（现汇率约合5377元人民币）的价格购买Hacktron研究人员所用此类增强型网络账户的非法访问权限。

AI时代的安全挑战与行业影响

此次事件凸显了AI模型在网络安全领域的双刃剑效应。一方面，AI辅助漏洞挖掘大幅降低了攻击门槛，使小型团队甚至个人具备以往国家级黑客组织的能力；另一方面，企业安全防护体系面临前所未有的压力，传统边界防御在AI驱动的攻击面前显得力不从心。

OpenAI抽调25%生产工程师投入安全加固，反映出头部AI企业对安全架构的重视程度正在升级。然而，第三方服务（如Discourse）的漏洞可能成为整个生态的薄弱环节，供应链安全风险不容忽视。随着AI模型能力持续进化，如何平衡开发效率与安全防护，将成为所有技术公司必须面对的长期课题。