Sicherheitsforscher von Hacktron erklärten, sie hätten eine Schwachstelle in einem öffentlichen OpenAI-Community-Forum mit einer Schwäche in der Identitätsverwaltung kombiniert, um auf die ChatGPT- und Codex-Konten mehrerer OpenAI-Mitarbeiter zuzugreifen. Das Unternehmen habe das Problem auf Seiten von OpenAI Berichten zufolge behoben und den Forschern ein Bug-Bounty-Kopfgeld von 6.500 US-Dollar gezahlt.
Die Aktivität wurde als autorisierte Sicherheitsforschung und nicht als aktiver Kompromittierungsversuch dargestellt. Hacktron erklärte, die Auswirkungen durch das Auslösen eines einzigen harmlosen Pull Requests über eine mit einem Mitarbeiter verknüpfte Codex-Verbindung demonstriert und die Tests anschließend beendet zu haben. Das Team erklärte, weder Quellcode eingesehen noch Repositories verändert, Kundeninformationen abgerufen oder den möglichen Zugriff auf andere verbundene Dienste genutzt zu haben.
Kompromittierung des Forums und gemeinsames Single Sign-on
Der erste Zugangspunkt betraf Discourse-Forumssoftware, die HEIC- oder HEIF-Bilduploads mit ImageMagick und der Bibliothek libheif verarbeitete. Die Forscher verwiesen auf CVE-2026-32882, ein in libheif bestehendes Speicher-Sicherheitsproblem, das in Version 1.22.0 vorgelagert behoben wurde. Öffentliche Schwachstellenaufzeichnungen beschreiben den Fehler als Out-of-Bounds-Lesezugriff, der Abstürze verursachen oder Speicherinhalte offenlegen kann; Hacktron erklärte, verwandte Speicherfehler kombiniert zu haben, um Codeausführung auf dem Forum-Host zu erreichen.
Laut den Forschern bestand das folgenreichere Problem darin, dass das Forum dasselbe OpenAI-Single-Sign-on-System unterstützte, das auch für andere Dienste verwendet wurde. Die Kontrolle über die Forumsumgebung habe angeblich den Zugriff auf Konten von OpenAI-Mitarbeitern ermöglicht, die Forumskonten besaßen, ohne dass diese Nutzer mit einem Angreifer interagieren mussten.
OpenAI hat keine technischen Details zu der gemeldeten Identitätsschwachstelle öffentlich veröffentlicht. Hacktron erklärte, OpenAI habe den Bericht durch die Behebung und die Auszahlung des Kopfgelds bestätigt, wobei darauf hingewiesen wurde, dass das Kopfgeld den Fund auf Seiten von OpenAI und nicht die Tests von Discourse selbst abdeckte.
KI-gestützte Exploit-Entwicklung
Hacktron erklärte, Anthropic's Claude Opus 5 zur Unterstützung bei der Entwicklung des Exploits eingesetzt zu haben, nachdem ein früheres Modell mit Schutzmechanismen wie der Randomisierung des Adressraumlayouts Schwierigkeiten gehabt hatte. Die Gruppe erklärte, menschliche Forscher hätten die Arbeit durchgehend angeleitet, und beschrieb den Beitrag des Modells als Beschleunigung statt als vollständige Automatisierung der Ausnutzung.
Der Bericht verdeutlicht die Risiken ungepatchter Abhängigkeiten für die Medienverarbeitung und weitreichend vertrauenswürdiger Single-Sign-on-Beziehungen. Organisationen, die libheif für nicht vertrauenswürdige HEIF-, HEIC- oder AVIF-Dateien einsetzen, sollten Hersteller- oder Distributionsupdates einspielen, die Ausführung der Bildverarbeitung in einer Sandbox erwägen und nicht benötigte Formatunterstützung deaktivieren. Sicherheitsteams sollten außerdem begrenzen, welche Dienste mit geringerem Vertrauensniveau über gemeinsame Identitätssitzungen Zugriff erben können, und für sensible Aktionen eine erneute Authentifizierung verlangen.
Hacktron erklärte, es gebe keine Hinweise darauf, dass die gemeldete OpenAI-Schwachstelle außerhalb seiner Forschung ausgenutzt wurde. Einige weitergehende Behauptungen im Zusammenhang mit der zugehörigen Testkampagne der Gruppe wurden nicht unabhängig bestätigt.