Mit Claude in OpenAIs interne Repos: 6.500 Dollar Prämie

Ein dreiköpfiges Team des Sicherheits-Start-ups Hacktron AI verkettete am 25. Juli 2026 zwei Schwachstellen, übernahm damit mehrere ChatGPT- und Codex-Konten von OpenAI-Beschäftigten und gelangte über eines davon in die internen GitHub-Repositorien des Unternehmens. Die Forscher Harsh Jaiswal, Mohan Pedhapati und Rahul Maini veröffentlichten ihren ausführlichen Bericht am 13. September; breite Aufmerksamkeit bekam der Fall, nachdem das Wall Street Journal am Abend des 17. September darüber berichtet hatte.

Der Einstieg war ein Bild-Upload. OpenAIs Community-Forum läuft auf Discourse, das HEIF- und HEIC-Dateien an ImageMagick weiterreichte, das sie wiederum an den Decoder libheif gab. Nach Darstellung von Hacktron basierte das Discourse-Docker-Image auf Debian 12 und enthielt libheif 1.19.7 ohne Sicherheits-Backport: Ein Upstream-Fix aus dem Vorjahr war nicht als Sicherheitsänderung dokumentiert und hatte keine CVE-Nummer erhalten, weshalb die Distributionen ihn nie übernahmen. Ein präpariertes Bild löste einen Heap-Überlauf aus und verschaffte dem Team Codeausführung auf dem Forumsserver. Von dort aus, so Hacktron, machte eine Fehlkonfiguration in OpenAIs eigenem Single-Sign-on – kein Discourse-spezifisches Problem – aus dem Zugang eine Kontoübernahme.

Bekannt wurde der Bericht vor allem wegen des Werkzeugs. Claude Opus 4.8, laut TechCrunch eine von Anthropic für Sicherheitsforscher bereitgestellte Version, fand demnach den fehlenden Backport, \"kämpfte aber über mehrere Sitzungen hinweg damit, einen funktionierenden Exploit zu erzeugen\", sobald die Speicherverwürfelung aktiv war. Am selben Abend veröffentlichte Anthropic Claude Opus 5. \"Innerhalb von Stunden nach der Veröffentlichung von Opus 5 gaben wir ihm dieselbe Aufgabe, und es gelang\", schreibt das Team. Das neue Modell lieferte in rund drei Stunden einen funktionierenden ARM64-Exploit und portierte ihn anschließend auf die von Discourse genutzte x86-64-Konfiguration.

Hacktron rechnet das Ergebnis in Kosten um. Die größere Untersuchung zu libheif über mehrere große Plattformen hinweg dauerte zwei Monate, wurde von drei Forschern durchgeführt und verbrauchte Modell-Tokens für weniger als 3.000 US-Dollar; die Anpassung an jedes neue Ziel kostete ein bis zwei Tage. Nur ein Unternehmen habe die Aktivität bemerkt, Shopify. \"Für 200 US-Dollar im Monat kann jeder diese Werkzeuge nutzen und in ein Unternehmen wie OpenAI eindringen\", sagte Matt Fredrikson, Chef der KI-Sicherheitsfirma Gray Swan, TechCrunch.

Um den Zugriff ohne Einsicht in geschützten Quellcode zu belegen, ließen die Forscher über das Codex-Konto des Mitarbeiters einen harmlosen Pull Request im internen Monorepo von OpenAI öffnen und stoppten die Tests gegen 15:30 UTC. OpenAI bestätigte noch am selben Abend einen Fix, rund 14 Stunden nach der Bugcrowd-Meldung, und zahlte am 1. September eine Prämie von 6.500 US-Dollar; das bei Discourse gehostete Forum sei vom Bug-Bounty-Programm ausgenommen, die Prämie honoriere den Befund auf OpenAI-Seite. Discourse hatte bis zum 27. Juli einen Fix bereit und veröffentlichte am 28. Juli das Advisory GHSA-vhm9-85gw-x335, das die Lücke als CVE-2026-32882 mit hoher Schwere führt, samt zusätzlicher Sandbox für die Bildverarbeitung. OpenAI erklärt die Probleme für behoben; Hacktron setzt die Forschung bei weiteren KI-Laboren fort.

Offenlegung: Der Redaktionsprozess von NewUJ nutzt die Claude-Modelle von Anthropic.