Claude znalazł słaby punkt w systemach OpenAI: historia badaczy Hacktron
Nie masz pewności, co dokładnie się zepsuło?
Opisz objawy serwisantowi — podpowiemy, od czego zacząć diagnostykę i czy warto oddać sprzęt do naprawy.
We wrześniu 2026 roku zespół badaczy Hacktron opisał, jak podczas autoryzowanego testu bezpieczeństwa OpenAI wykorzystał Claude do analizy podatności i zbudowania łańcucha ataku. Badacze uzyskali dostęp do kont kilku pracowników OpenAI przez publiczne forum, a następnie pokazali możliwą drogę do wewnętrznego kodu. Na dowód stworzyli nieszkodliwy pull request, nie próbując czytać ani zmieniać poufnych danych.
Nagłówki typu „Claude złamał OpenAI” upraszczają sytuację. Claude był narzędziem w rękach specjalistów, a wynik dała kombinacja kilku błędów: niebezpieczne przetwarzanie obrazów w zewnętrznym oprogramowaniu, błąd w SSO i zbyt szerokie powiązane uprawnienia. To właśnie ten łańcuch, a nie nazwa modelu, jest główną lekcją dla użytkowników i deweloperów.
Co dokładnie badali Hacktron
Zespół pracował w ramach programu poszukiwania podatności. Pierwszym celem było publiczne forum OpenAI oparte na Discourse. Badacze zwrócili uwagę na przetwarzanie przesyłanych obrazów, szczególnie formatów przechodzących przez bibliotekę libheif i powiązane komponenty.
Podczas analizy używali Claude jako asystenta do rozumienia kodu, weryfikacji hipotez i przygotowania scenariusza testowego. To ważny szczegół: model nie działał autonomicznie w cudzej sieci. Ludzie określali granice testu, sprawdzali wyniki i pracowali w ramach dozwolonego programu.
Według opublikowanego opisu badacze znaleźli błąd przetwarzania danych w łańcuchu obrazów. Osobno zadziałał problem SSO, który pozwolił przejść od dostępu do forum do sesji ChatGPT i Codex pracowników. Taki przejście pokazuje, że bezpieczeństwo publicznego forum może wpływać na systemy wewnętrzne, jeśli między nimi źle skonfigurowano zaufanie.
Dlaczego ważny jest Discourse, a nie tylko OpenAI
Discourse to popularna platforma forów. Jeśli serwis przyjmuje obrazy, może je konwertować, kompresować, tworzyć miniatury lub sprawdzać metadane. Każdy komponent czytający złożony format pliku zwiększa powierzchnię ataku.
Podatność w takim łańcuchu nie oznacza, że każdy obraz jest zainfekowany. Ryzyko pojawia się, gdy serwer automatycznie przekazuje plik do podatnego dekodera, a system nie ma izolacji, aktualnych pakietów i ograniczonych praw. Dlatego przesyłanie plików użytkowników powinno odbywać się w oddzielnym procesie z minimalnymi uprawnieniami.
Dla właściciela strony to praktyczny wniosek: sprawdź nie tylko WordPress czy główny framework, ale także biblioteki do przetwarzania obrazów, PDF, archiwów, wideo i plików biurowych. Jeśli na serwerze są zewnętrzne komponenty, ich wersja i źródło aktualizacji muszą być znane.
Jak Claude pomógł badaczom
Model mógł wyjaśniać fragmenty kodu, znajdować podejrzane miejsca, proponować warianty testów i pomagać dostosować rozumienie podatności do konkretnego środowiska. To skraca czas rutynowej analizy, ale nie eliminuje potrzeby weryfikacji każdego wyniku.
Badacze informowali, że wczesna wersja modelu nie od razu dała działający rezultat. Po pojawieniu się nowszej wersji część zadań stała się prostsza. Fakt ten nie oznacza, że każdy użytkownik może jednym zapytaniem złamać serwis. Exploit zależy od konkretnej wersji biblioteki, konfiguracji, ochrony pamięci, sieci i uprawnień.
Wykorzystanie AI w bezpieczeństwie ma podwójny efekt. Obrońca może szybciej analizować logi i poprawki, ale atakujący równie szybko testuje hipotezy. Dlatego organizacje powinny skracać czas między wydaniem poprawki a jej instalacją oraz ograniczać skutki kompromitacji jednego konta.
Co oznacza „złamane konto OpenAI”
W komunikatach mówiono o uzyskaniu dostępu do kont pracowników ChatGPT i Codex przez łańcuch z forum i SSO. To nie znaczy, że złamano wszystkie konta użytkowników ChatGPT lub że każda rozmowa stała się dostępna osobom trzecim.
Dla demonstracji badacze otworzyli nieszkodliwy pull request w wewnętrznym repozytorium. Ten krok potwierdził poziom dostępu, ale nie był próbą zmiany kodu czy kradzieży danych. Ważne jest oddzielić potwierdzone działanie od potencjalnych możliwości: dostęp do integracji nie oznacza, że wszystkie powiązane sekrety zostały odczytane.
OpenAI i Discourse otrzymały zgłoszenia, a problem naprawiano w ramach koordynowanego ujawnienia. Według publicznych informacji zespół otrzymał nagrodę w wysokości 6500 dolarów. To przykład, jak odpowiedzialne zgłoszenie zmniejsza ryzyko dla wszystkich użytkowników.
Czym to różni się od phishingu
Phishing oszukuje użytkownika i zmusza go do samodzielnego podania hasła lub kodu. W przypadku Hacktron chodziło o techniczny łańcuch w oprogramowaniu serwerowym i systemie logowania. Dla użytkownika wniosek jest podobny: jedno konto nie powinno automatycznie otwierać wszystkich systemów.
Włącz dwuskładnikowe uwierzytelnianie, sprawdzaj aktywne sesje i usuwaj niepotrzebne integracje. Nie przechowuj długotrwałych tokenów w otwartym pliku tekstowym na laptopie. Osobno sprawdź uprawnienia podłączonych GitHub, Google, Slack lub innych serwisów. O ryzyku kradzieży sesji serwisów AI pisaliśmy w artykule o kradzieży sesji i tokenów Claude.
Co powinni zrobić deweloperzy
Serwery przyjmujące pliki powinny ograniczać format, rozmiar i liczbę prób. Przetwarzanie należy wykonywać w kontenerze lub osobnym procesie bez dostępu do sekretów, wewnętrznej sieci i systemu plików aplikacji. Pliki źródłowe nie powinny być przekazywane do konwertera z uprawnieniami administratora.
Utrzymuj biblioteki libheif, ImageMagick, pakiety systemowe i Discourse aktualne. Lista zależności powinna być zautomatyzowana, a aktualizacje — testowane w środowisku testowym. Ważne jest śledzenie nie tylko CVE głównego produktu, ale także pakietów uruchamianych po załadowaniu obrazu.
SSO należy konfigurować z krótkimi sesjami, poprawną weryfikacją redirect URI, ochroną przed ponownym użyciem tokenów i minimalnymi zakresami uprawnień. Jeśli forum nie potrzebuje dostępu do wewnętrznej infrastruktury developerskiej, takie powiązanie nie powinno istnieć. Integracja powinna otwierać tylko te działania, które są naprawdę potrzebne.
Co powinien zrobić zwykły użytkownik
Sprawdź, gdzie logowałeś się przez OpenAI lub inny serwis AI i usuń niepotrzebne połączenia. Zakończ sesje zewnętrzne, zaktualizuj hasło i zachowaj kody zapasowe 2FA w bezpiecznym miejscu. Jeśli używasz kluczy API, odwołaj stare i utwórz nowe z minimalnymi uprawnieniami.
Nie uruchamiaj plików lub skryptów, które „są potrzebne dla Claude”, ChatGPT lub Codex, jeśli zostały przesłane na czacie lub w mailu. Serwis AI nie prosi o instalację nieznanego instalatora do potwierdzenia konta. Podejrzany plik może być osobnym atakiem, nawet jeśli w wiadomości wspomniano o Hacktron.
Jeśli na laptopie przechowywano tokeny, klucze lub aktywne sesje, a uruchamiałeś nieznany plik, odłącz urządzenie od sieci i zmień dostęp z czystego telefonu. Sprawdź rozszerzenia przeglądarki, autostart i pobrane pliki. W przypadku podejrzenia kompromitacji diagnostyka laptopa pomoże ustalić, czy problem dotyczy sesji, złośliwego oprogramowania czy zwykłego konfliktu programów.
Dlaczego AI nie zastępuje specjalisty ds. bezpieczeństwa
Model może generować przekonujący kod z błędami, proponować niebezpieczne działania lub błędnie interpretować konfigurację. W systemie produkcyjnym każda podpowiedź AI powinna przechodzić przegląd, testowanie w izolacji i weryfikację praw dostępu.
To samo dotyczy ochrony laptopa. Nie kopiuj do czatu pełnych logów z hasłami, cookie, tokenami czy kluczami prywatnymi. Przed analizą zamaskuj sekrety, zostaw tylko potrzebny fragment i korzystaj ze środowiska kontrolowanego. Jeśli podejrzewasz, że klucz wyciekł, należy go odwołać, a nie prosić model o „sprawdzenie”, czy jest ważny.
Jak zmienia się model zagrożeń
Wcześniej złożony łańcuch wymagał długiej ręcznej analizy. Teraz AI może przyspieszyć wyszukiwanie zgodności między biblioteką, wersją, konfiguracją i błędem. To skraca czas, jaki ma obrońca na aktualizację systemu.
Ochrona też może korzystać z AI: do sortowania logów, wykrywania anomalii, wyjaśniania poprawek i przygotowywania testów. Jednak automatyzacja nie powinna mieć nieograniczonych praw w sieci produkcyjnej. Najlepsza równowaga to model izolowany, działania potwierdzone przez człowieka oraz minimalne i krótkotrwałe uprawnienia.
Ta historia przypomina także o łańcuchu dostaw. Podatność może nie być w „głównym” produkcie, lecz w dekoderze obrazów, wtyczce, forum lub integracji logowania. Właściciel serwisu odpowiada za całą ścieżkę danych, która uruchamia się po kliknięciu przycisku „prześlij”.
Podsumowanie
Hacktron nie udowodnił, że Claude samodzielnie złamał OpenAI. Badacze użyli modelu jako narzędzia w dozwolonym teście i połączyli podatność przetwarzania obrazów z problemem SSO i nadmiernym dostępem integracji. To łańcuch był przyczyną rezultatu.
Dla użytkownika odpowiedź jest prosta: aktualizuj urządzenie, chroń konta 2FA, odwołuj stare tokeny, nie uruchamiaj nieznanych plików i nie ufaj integracjom z nadmiernymi uprawnieniami. Dla dewelopera — izoluj przetwarzanie plików, prowadź inwentaryzację zależności i nie pozwalaj jednemu forum otwierać drogi do wewnętrznego kodu.
Najczęstsze pytania
Czy mogę rozwiązać problem samodzielnie?
Proste czynności, takie jak restart, sprawdzenie zasilacza, kabli i kopia danych, są bezpieczne. Jeśli problem wraca albo dotyczy dysku, zasilania, zalania lub płyty głównej, lepiej wykonać diagnostykę w serwisie.
Kiedy warto oddać sprzęt do serwisu?
Gdy laptop lub komputer wyłącza się, przegrzewa, nie widzi dysku, pokazuje błędy albo działa niestabilnie. Szybka diagnostyka zmniejsza ryzyko utraty danych i niepotrzebnych kosztów.
Czy Re-Save poda koszt przed naprawą?
Tak. Najpierw sprawdzamy przyczynę usterki, a następnie uzgadniamy zakres prac, części i cenę przed rozpoczęciem naprawy.
