研究者用 Claude Opus 5 进到 OpenAI 内部仓库——经漏洞赏金渠道披露，团队称未接触任何内部代码

“三个人用 Claude Opus 5 进到了 OpenAI 的内部仓库——据他们说，走的是漏洞赏金渠道，没接触任何内部代码。”

可用说法

• 一条由两个漏洞串成、经 OpenAI 在 Bugcrowd 上的漏洞赏金计划与 Discourse 的 HackerOne 项目披露的利用链，从 OpenAI 社区论坛一路进到公司内部仓库，OpenAI 为 OpenAI 侧的发现支付 6,500 美元奖金——据研究者自己的 Hacktron 博客（2026 年 9 月 13 日发布）、TechCrunch 的报道（Aditya Mehta 与 Rebecca Bellan，2026 年 9 月 18 日 7:00 AM PDT）以及 Anthropic 的 Opus 5 公告（2026 年 7 月 24 日）。授权与结果，TechCrunch 原话：「A three-person security team at startup Hacktron AI carried out the attack as part of an OpenAI bug-bounty program.（创业公司 Hacktron AI 的三人安全团队作为 OpenAI 漏洞赏金计划的一部分实施了这次攻击。）」「Hacktron reported its findings to OpenAI, which gave the startup a $6,500 award.（Hacktron 向 OpenAI 报告了发现，OpenAI 给了这家创业公司 6,500 美元奖金。）」「OpenAI says it has resolved the issues Hacktron uncovered（OpenAI 表示已修复 Hacktron 揭示的问题）」研究者账号的记录：「OpenAI also paid us a $6,500 bounty.（OpenAI 还向我们支付了 6,500 美元赏金。）」OpenAI 自己的奖项范围说明，按 Hacktron 博客时间线中的引文：「To clarify the scope of that award: testing against the Discourse-hosted community.openai.com was explicitly excluded from our bug bounty program. The award recognizes the OpenAI-side finding, not the actions against Discourse.（澄清该奖项的范围：针对 Discourse 托管的 community.openai.com 的测试被明确排除在我们的漏洞赏金计划之外。该奖项认可的是 OpenAI 侧的发现，而不是针对 Discourse 的行动。）」影响，博客原话：「On July 25, 2026, we chained two critical vulnerabilities to compromise multiple OpenAI employees' ChatGPT accounts. With these accounts, we could then access internal OpenAI repositories, and potentially many other connectors.（2026 年 7 月 25 日，我们把两个严重漏洞串成链，攻陷了多名 OpenAI 员工的 ChatGPT 账号。凭借这些账号，我们随后可以进入 OpenAI 的内部仓库，以及潜在的其他许多连接器。）」不读代码的取证：「To prove we had in fact gained the access we believed without allowing ourselves to learn any sensitive information, we used the employee's Codex to open a PR #1186742 in OpenAI's internal monorepo openai/openai.（为了证明我们确实获得了所认为的访问权、同时不让自己了解任何敏感信息，我们用该员工的 Codex 在 OpenAI 的内部 monorepo openai/openai 里开了一个 PR #1186742。）」TechCrunch 的平行框架：「The team managed to chain together two critical vulnerabilities to gain access to multiple OpenAI employee ChatGPT accounts, which gave them entry into the company's software.（团队成功把两个严重漏洞串成链，进入多名 OpenAI 员工的 ChatGPT 账号，从而拿到了进入该公司软件的入口。）」入口向量，博客原话：「On July 23, we started reviewing Discourse's image-upload pipeline, and we found that HEIC and HEIF files followed an unusual path. Discourse normally used FastImage for image checks, but because FastImage did not support HEIF, it passed those files to ImageMagick's magick command for conversion.（7 月 23 日，我们开始审查 Discourse 的图片上传流水线，发现 HEIC 和 HEIF 文件走了一条不寻常的路径。Discourse 通常用 FastImage 做图片校验，但因为 FastImage 不支持 HEIF，这些文件被交给 ImageMagick 的 magick 命令做转换。）」「That exposed the underlying libheif parser directly to attacker-controlled files.（这使底层的 libheif 解析器直接暴露在攻击者可控的文件之下。）」漏洞本体：「This allowed an heap buffer overflow leading to OOB R/W primitives during HEIC decoding.（这导致 HEIC 解码期间出现堆缓冲区溢出，形成越界读写原语。）」为何一直未修：「the vulnerable code had been changed upstream the previous year, but the commit was not documented as a security fix and received no CVE（易受攻击的代码此前一年已在上游被修改，但该提交未被记录为安全修复，也没有拿到 CVE 编号）」——TechCrunch：「But the fix was never formally flagged as a vulnerability, meaning it never got a CVE (common vulnerabilities and exposures) number（但这个修复从未被正式标记为漏洞，也就是说从未获得 CVE 编号）」TechCrunch 对效果的渲染：「Buried inside libheif was a memory bug that exposed a path for an attacker to sneak in their own instructions. In this case, feeding the library a specially crafted image caused it to miscalculate where one image was positioned on top of another, which proved enough to hijack the server.（libheif 内部埋着一个内存漏洞，为攻击者留了一条塞入自定义指令的路径。在这个案例里，给这个库喂一张特制图片，会让它算错一张图叠加在另一张图上的位置——这足以劫持服务器。）」模型层，博客原话：「On July 24, we used Opus 4.8 to develop a working ImageMagick/libheif code-execution exploit with ASLR disabled. We then launched several separate sessions to make it reliable against Discourse's default configuration with ASLR enabled, which wasn't fruitful.（7 月 24 日，我们用 Opus 4.8 在关闭 ASLR 的条件下开发出了一个可用的 ImageMagick/libheif 代码执行 exploit。随后我们开了多个独立会话，试图让它在开启 ASLR 的 Discourse 默认配置下稳定复现，但没有收获。）」「That evening, Anthropic released Claude Opus 5.（那天晚上，Anthropic 发布了 Claude Opus 5。）」「We started a new session, which first produced a working ARM64 exploit for a local Mac within 3 hours.（我们开了一个新会话，它在 3 小时内先产出了一个可用的 ARM64 exploit，目标是一台本地 Mac。）」——以及「By 6:00 a.m. on July 25, we had confirmed local RCE through an image upload.（到 7 月 25 日早上 6 点，我们通过图片上传确认了本地 RCE。）」两家都引用的总结句：「Opus 4.8 struggled across several sessions to produce a working exploit with ASLR enabled. Within hours of Opus 5's release, we gave it the same problem and it succeeded.（Opus 4.8 在开启 ASLR 的情况下跨多个会话都难以产出可用的 exploit。Opus 5 发布后数小时内，我们把同一问题给它，它成功了。）」（TechCrunch 引用这段时没有句尾的「with ASLR enabled」——博客更完整的句子是准绳。）TechCrunch 补充、归于研究者所述：他们使用的 Claude 模型是「a special version of Opus 4.8 made available for cybersecurity researchers（面向网络安全研究者提供的 Opus 4.8 特殊版本）」——这一表述出现在 TechCrunch 的报道里，博客正文并没有。Anthropic 自己的页面，用于发布事实与防护线：「Claude Opus 5 is available today.（Claude Opus 5 今日可用。）」页面标注日期 2026 年 7 月 24 日；；「we've intentionally avoided training Opus 5 on cyber tasks（我们有意识地避免在网络安全任务上训练 Opus 5）」；分类器「allow Opus 5 to find vulnerabilities in source code, but block "binary-based" vulnerability scanning (a method more likely to be associated with malicious actors), penetration testing, and exploit generation.（允许 Opus 5 在源代码中寻找漏洞，但阻止「基于二进制」的漏洞扫描（一种更常与恶意行为者关联的方法）、渗透测试与 exploit 生成。）」博客自己的护栏注记：「Opus refused write exploit for remote instances（Opus 拒绝为远程实例编写 exploit）」以及「skilled human guidance remained important（人的专业指引依然重要）」——没有任何已打开来源说明团队在 Opus 5 会话中使用的是哪条访问通道或哪个项目层级。提权根因，博客的强调：「We want to emphasize that the vulnerability to escalate is not Discourse-specific. It is an OpenAI SSO issue that turned the forum compromise into access to ChatGPT and Codex.（我们要强调：用于提权的漏洞并非 Discourse 独有。这是一个 OpenAI SSO 问题，把论坛的失陷转化成了对 ChatGPT 与 Codex 的访问。）」时间线（全部来自博客时间线表，星期-日期对已按日历核验）：7 月 23 日（周四）开始审查；7 月 24 日（周五）Opus 4.8 尝试、当晚 Opus 5 发布；7 月 25 日（周六）05:00–06:00 UTC 首次 RCE 与管理员权限、08:00–10:00 UTC 提交 Bugcrowd、13:30–15:30 UTC 员工账号概念验证并于「大约 15:30 UTC」停止全部测试、22:49:45 UTC OpenAI 确认修复（「大约在首次提交 14 小时后」）；同日经 HackerOne 报告 Discourse，7 月 26 日（周日）Discourse 回复，7 月 27 日（周一）「fix ready by Monday」——TechCrunch：「which issued a fix on July 27（于 7 月 27 日发布修复）」；7 月 28 日发布安全公告 GHSA-vhm9-85gw-x335；9 月 1 日支付赏金并标记已解决。博客的跨度句：「The entire timeline from initial discovery to access to OpenAI repo access took place in less than 72 hours.（从最初发现到进入 OpenAI 仓库访问的整条时间线，发生在不到 72 小时内。）」主流传播波，TechCrunch 的归属：此事经「The Wall Street Journal reported on Thursday evening（华尔街日报周四晚间报道）」（9 月 17 日）进入大众视野。博客的长期警告：「If you self-host Discourse, rebuild your installation now.（如果你自托管 Discourse，现在就重建你的安装。）」