72小时，AI如何黑进OpenAI内部仓库？
说实话，当一家估值近万亿美元的公司被一套不足三千美元的AI模型套件轻松拿下时，传统安全圈的认知该更新了。不到72小时，三个研究员、两次关键漏洞串联，直接拿到了OpenAI员工账号和内部代码库的读写权限。更离谱的是，这次攻击的主力推手，不是黑客团队里的人类，而是正在快速迭代的AI大模型。
信任链上的致命断点
事情要从OpenAI自家的社区论坛说起。Hacktron团队在调研前沿AI公司时，盯上了Discourse论坛。表面上看，这只是一个普通的用户交流区，但背后连着一条脆弱的身份认证链。只要通过论坛登录，就能触发OpenAI的SSO流程。一旦论坛被攻破，员工的ChatGPT和Codex账号随时可能易主。而连接这些账号的，还有GitHub、Slack甚至企业邮箱。说实话，这条攻击路径画出来，连最保守的安全架构师都会重新审视零信任架构。
一张图片引发的雪崩
突破口藏在格式转换的缝隙里。Discourse上传图片时会调用ImageMagick进行校验，而处理HEIC或HEIF文件时，因为原生组件不支持，只能把流量全量丢给底层库libheif。问题就出在这条隐蔽的路径上。上游去年其实修好了内存越界漏洞，但根本没打CVE标签。结果Debian 12和13的系统迟迟没收到安全补丁。Hacktron的Opus 4.8模型一眼就看穿了这套供应链的信息差。堆缓冲区溢出，加上缺失的后向移植，直接让攻击者拿到了越界读写能力。个人觉得，这根本不是高深的密码学博弈，纯粹是开源生态维护的惰性。
AI接管战场：模型迭代决定胜负
真正的戏剧性发生在模型换代的当晚。Anthropic刚放出Claude Opus 5，Hacktron立刻把任务丢给新模型。三小时内，本地ARM64环境跑通；接着无缝迁移到Discourse的x86-64架构和jemalloc配置。到第二天早上六点，远程代码执行彻底坐实。他们甚至把Claude放进自主循环目标里，让它自己摸索绕过ASLR。有意思的是，从盲目试探到精准提权，整个流程耗时极短。AI不再是辅助工具，它已经成了攻击链上的标准件。
反转与代价：六千五百美元的“天价”悬赏
拿到权限后，团队没有偷看任何核心代码。他们只是顺着账号关联，找到了员工绑定的GitHub组织。通过Codex发了一条指令，在OpenAI的内部monorepo里提交了一个PR。截图显示，修改内容已被脱敏，但访问权限的铁证确凿。> 我们立即向OpenAI报告了初始漏洞，并与其及Discourse协同发布补丁。整个过程干净利落。但问题来了，这笔差点泄露未发布训练数据和源码的漏洞，只换来6500美元的赏金。老实讲，放在暗网，这串钥匙的价值至少能翻上千倍。万亿美元的巨头，对“数字入侵”的定价依然停留在上个世纪。
安全假设必须重写
过去十年，安全圈靠“复杂度”吃饭。漏洞公开，但利用它需要稀缺专家、数月时间和大量试错。现在，AI把这种稀缺性转化成了算力。两个月、三名研究员、不到三千美元Token费，扫过Slack、Meta、GitHub Enterprise等无数依赖libheif的系统。除了Shopify勉强察觉异常，几乎没有公司拉响警报。当写Exploit的成本降到按Token计费，传统的防御边界还剩多少？安全团队还得继续用旧地图找新大陆吗？
【锐评】：AI把漏洞利用变成了流水线作业，六千五百万美元的差价，砸碎的是老牌大厂的安全幻觉。
参考链接：
https://www.hacktron.ai/blog/hacking-openai