Claude ile OpenAI'nin İç Depolarına Ulaştılar: 6.500 Dolar

Güvenlik girişimi Hacktron AI'daki üç kişilik ekip, 25 Temmuz 2026'da iki güvenlik açığını zincirleyerek birden fazla OpenAI çalışanının ChatGPT ve Codex hesabını ele geçirdi; bunlardan biri üzerinden şirketin iç GitHub depolarına ulaştı. Araştırmacılar Harsh Jaiswal, Mohan Pedhapati ve Rahul Maini ayrıntılı teknik raporlarını 13 Eylül'de yayımladı; olay, The Wall Street Journal'ın 17 Eylül akşamı haberi geçmesinin ardından geniş yankı buldu.

Giriş noktası bir görsel yüklemesiydi. OpenAI'nin topluluk forumu Discourse üzerinde çalışıyor; Discourse HEIF ve HEIC dosyalarını ImageMagick'e, o da libheif çözücüsüne aktarıyordu. Hacktron'un anlatımına göre Discourse'un Docker imajı Debian 12 tabanlıydı ve güvenlik yaması geri taşınmamış libheif 1.19.7 sürümünü barındırıyordu: bir önceki yıl yapılan üst kaynak düzeltmesi güvenlik değişikliği olarak belgelenmemiş ve CVE numarası almamıştı, bu yüzden dağıtımlar düzeltmeyi almadı. Özel hazırlanmış bir görsel yığın taşmasını tetikledi ve ekibe forum sunucusunda kod çalıştırma imkânı verdi. Hacktron'a göre buradan sonrasını mümkün kılan şey, Discourse'a özgü olmayan, OpenAI'nin kendi tek oturum açma (SSO) yapılandırmasındaki bir hataydı.

Raporu bu kadar konuşulur kılan şeyse kullanılan araç. Hacktron, TechCrunch'ın aktardığına göre Anthropic'in güvenlik araştırmacılarına açtığı bir sürüm olan Claude Opus 4.8'in eksik yamayı bulduğunu, ancak bellek düzeni rastgeleleştirmesi açıkken \"çalışan bir istismar kodu üretmek için birkaç oturum boyunca zorlandığını\" yazıyor. Anthropic aynı akşam Claude Opus 5'i yayımladı. Ekip, \"Opus 5'in çıkışından birkaç saat sonra aynı problemi ona verdik ve başardı\" ifadesini kullandı. Yeni model yaklaşık üç saatte çalışan bir ARM64 istismarı üretti, ardından bunu Discourse'un kullandığı x86-64 yapılandırmasına uyarladı.

Hacktron sonucu maliyet üzerinden anlatıyor. Ekibin libheif üzerine birkaç büyük platformu kapsayan geniş araştırması iki ay sürdü, üç araştırmacıyla yürütüldü ve toplam 3.000 dolardan az model jetonu harcandı; her yeni hedefe uyarlama bir ya da iki gün aldı. Ekip, etkinliği fark eden tek şirket olarak yalnızca Shopify'ı bildiğini söylüyor. Yapay zekâ güvenliği şirketi Gray Swan'ın genel müdürü Matt Fredrikson TechCrunch'a şunu söyledi: \"Ayda 200 dolara, herkes bu araçları kullanıp OpenAI gibi bir şirkete sızabilir.\"

Araştırmacılar, özel kaynak kodunu okumadan erişimi kanıtlamak için çalışanın Codex hesabı üzerinden OpenAI'nin iç tek deposunda zararsız bir birleştirme isteği açtı ve yaklaşık 15.30 UTC'de testleri durdurdu. OpenAI aynı akşam, Bugcrowd bildiriminden yaklaşık 14 saat sonra düzeltmeyi onayladı ve 1 Eylül'de 6.500 dolarlık ödül ödedi; şirket, Discourse üzerinde barındırılan forumun ödül programı kapsamı dışında olduğunu, ödülün OpenAI tarafındaki bulguyu karşıladığını belirtti. Discourse 27 Temmuz'da düzeltmeyi hazırladı ve 28 Temmuz'da, açığı CVE-2026-32882 numarasıyla ve yüksek önem derecesiyle izleyen GHSA-vhm9-85gw-x335 danışma belgesini yayımlayıp görsel işlemeye kum havuzu koruması ekledi. OpenAI sorunların giderildiğini açıkladı; Hacktron ise araştırmayı diğer öncü yapay zekâ laboratuvarlarında sürdürdüğünü söylüyor.

Şeffaflık notu: NewUJ'un yayın süreci Anthropic'in Claude modellerini kullanıyor.