Hacktron, Claude Opus 5 ile OpenAI’deki zincirleme açığı istismar etti
Hacktron AI, Discourse ve OpenAI SSO zafiyetlerini birleştirerek OpenAI çalışanlarının ChatGPT ve Codex hesaplarına ulaştı. Saldırıda Claude Opus 5’in saatler içinde çalışır exploit üretmesi öne çıkıyor.
Güvenlik girişimi Hacktron AI, OpenAI’nin bug bounty programı kapsamında Anthropic’in Claude Opus modellerini kullanarak OpenAI altyapısına sızan bir saldırı zinciri kurdu. Bu süreçte hedef, ortaya çıkan güvenlik açıklarını istismar etmek ve sorumlu şekilde rapor etmekti.
Saldırı, Discourse üzerinde çalışan bir image-processing açığı ile OpenAI’nin single sign-on (SSO) hatasının zincirlenmesine dayanıyordu. Bu kombinasyon sayesinde OpenAI çalışanlarının ChatGPT ve Codex hesapları ele geçirilerek iç yazılım sistemlerine erişim sağlandı.
Zincirin teknik akışı, kötü amaçlı bir HEIF dosyasının yüklenmesiyle başladı. Buradan libheif üzerinden remote code execution seviyesinde bir istismar yapıldı, ardından SSO açığı kullanılarak çalışan hesaplarına geçildi ve ChatGPT ile Codex hesapları ele geçirilip bir GitHub pull request’i atılacak kadar yetki alındı.
Hacktron, erişim kanıtı olarak, iç kodu okumak yerine bir OpenAI çalışanının Codex hesabı üzerinden GitHub’a pull request gönderdi. Böylece yetki düzeyini gösterirken, içerideki kod tabanını incelememeyi tercih etti.
Hacktron’un anlatımına göre Claude Opus 4.8, alttaki libheif açığı için çalışan bir exploit üretemedi. Aynı problem Claude Opus 5’e verildiğinde ise, model sürümünün yayınlanmasından sonraki birkaç saat içinde işe yarar bir çözüm üretildi.
Hacktron, yamalanmamış libheif kütüphanesi için kötü amaçlı HEIF görseli üreten exploit’i Claude Opus 5 yardımıyla oluşturdu. Bu exploit, saldırı zincirinin giriş noktası olarak kullanıldı.
Tüm süreç boyunca Hacktron, OpenAI’nin bug bounty programı kapsamında hareket etti ve bulgularını hem OpenAI’ye hem de Discourse’a raporladı. Açıkların kapatılmasının ardından OpenAI, Hacktron’a 6,500 dolar ödül verdi.
Raporun ardından hem OpenAI hem de Discourse kendi taraflarındaki zafiyetleri giderdi. Hacktron, uçtan uca HEIF exploit hattının, 1–2 gün içinde ve 3,000 doların altında token maliyetiyle birden fazla büyük platforma uyarlanabileceğini de belirtiyor.
Hacktron ayrıca, iç sistemlere erişim kazanmasına rağmen OpenAI’nin kaynak kodunu incelemediğini veya indirmediğini vurguluyor.
Neden önemli
Bu vakada bir güvenlik ekibi, kamuya açık bug bounty süreci içinde, modern bir LLM’in karmaşık bir exploit zincirini kurmadaki rolünü göstermiş oldu. Claude Opus 5’in birkaç saat içinde çalışır libheif exploit’i üretebilmesi, model sürümleri arasındaki küçük gözüken güncellemelerin, pratik saldırı geliştirme kapasitesinde büyük fark yaratabildiğini ortaya koyuyor. Aynı zamanda tekil bir HEIF tabanlı exploit hattının kısa sürede ve görece düşük maliyetle farklı büyük platformlara taşınabileceği iddiası, görüntü işleme ve SSO entegrasyonları kullanan hizmetler için ortak risk yüzeyine işaret ediyor. OpenAI ve Discourse’un açıkları kapatmış olması, şu anki somut riski sınırlasa da, güçlü LLM’lerin hem savunma hem saldırı tarafında nasıl bir kaldıraç oluşturduğuna dair tartışmayı daha somut hâ