安全公司 Hacktron 的三名研究人员使用 Anthropic 的 Claude Opus 5 链接了两个漏洞，接管了多个 OpenAI 员工的 ChatGPT 和 Codex 账户，然后访问了 OpenAI 的内部代码库。
这一链条始于 OpenAI 公共帮助论坛运行的软件中的一个漏洞，并通过 OpenAI 自身的登录系统中的一个弱点进行扩展。
这是一项安全研究，而不是现实世界中的攻击：该团队向 OpenAI 报告了这些漏洞，通过一个无害的拉取请求证明了访问权限，然后停止了行动。从初步来看，这种内部访问在 72 小时内完成。
根据 Hacktron 的说法，OpenAI 在报告后大约 14 小时确认了修复，并在 9 月 1 日向该团队支付了 6,500 美元的奖金。OpenAI 表示，该奖励“认可了 OpenAI 方面的发现，而不是针对 Discourse 的行为”，Discourse 是运行该论坛的开源软件。测试论坛本身不在其漏洞赏金计划之内。
OpenAI 尚未公开描述登录漏洞，并通过修复和支付确认了这一发现，而不是详细说明账户接管情况。
Hacktron 自称为一家 AI 辅助的安全研究公司，对其所做和未做的事情非常谨慎。当一名员工的 Codex 链接到 OpenAI 在 GitHub 上的代码时，它触发了内部代码库中的一个拉取请求。它没有读取任何源代码、合并或发布任何内容，也没有接触客户数据。
链条可能达到的范围要大得多。由于员工将其他服务连接到 ChatGPT 和 Codex，团队表示，理论上同样的访问权限可能扩展到 GitHub、Slack 和电子邮件等工具。虽然这种更广泛的访问是可能的，但并未被利用。
为什么论坛漏洞能够接触到员工账户
公共论坛中的一个漏洞能够接触到员工账户的原因在于 OpenAI 的登录系统，而不是论坛软件。OpenAI 的论坛提供了“使用 OpenAI 登录”的选项，这与员工在其他地方使用的单点登录（SSO）相同。
一旦研究人员控制了论坛服务器，共享登录使他们能够接管在 OpenAI 工作的论坛成员的 ChatGPT 和 Codex 账户。受害者无需做任何事情。
Hacktron 表示，这是一种 OpenAI 身份问题，而不是论坛软件中的漏洞：任何使用相同单点登录的第一方或第三方服务都可能授予相同的访问权限。
进入的方式是一个图像漏洞。该论坛运行在 Discourse 上，Discourse 将上传的 HEIC 和 HEIF 图像传递给一个名为 ImageMagick 的工具，该工具使用 libheif 库来读取它们。libheif 中的一个漏洞使得一个特殊构造的图像能够破坏论坛服务器的内存。
Discourse 的建议将结果评为远程代码执行，得分为 8.8 分（满分 10 分），并将其跟踪为 CVE-2026-32882。该漏洞的公共记录则更为狭窄。在 libheif 自身的建议和国家漏洞数据库中，CVE-2026-32882 是一种越界读取，可能导致软件崩溃或泄漏附近的内存，而不是直接的代码执行漏洞。
泄漏的内存有助于击败一种常见的保护机制，称为 ASLR。研究人员表示，他们结合了 libheif 的内存漏洞，在 AI 的帮助下，将崩溃转化为在论坛服务器上的有效代码执行。上游，libheif 1.22.0 中的漏洞在 2026 年 5 月被修复。
该修复在测试前几个月就已存在。但当研究人员在 7 月查看时，论坛的服务器镜像仍然使用旧的、未修补的 libheif 版本 1.19.7。修复及其 CVE 已经公开，但 Debian 尚未将其包含在论坛使用的打包版本中。
如果您运行自己的 Discourse 服务器，这部分内容直接影响您。请在最新镜像上重建以获取修补过的 libheif，因为仅更新 Web 界面可能无法替换旧库。由 Discourse 托管的网站已经修补，修复后的自托管版本为 2026.7.0、2026.6.1、2026.5.2 和 2026.1.6。
研究人员如何使用 AI
研究人员利用 AI 来完成困难的部分。他们首先尝试了 Claude Opus 4.8，在启用标准内存防御 ASLR 后，经过几次会话仍然难以构建有效的利用代码。
Anthropic 于 7 月 24 日晚上发布了下一个模型 Claude Opus 5，在一个新的会话中，它在数小时内生成了有效的利用代码。
Opus 5 配备了旨在阻止其为真实目标编写利用代码的安全措施。研究人员通过将模型指向他们自己的测试服务器，伪装成一个夺旗练习目标，然后让其在自动循环中运行，绕过了这些安全措施。尽管如此，他们表示这项工作并非完全不需要人手：熟练的人类指导仍然很重要，这并不是无人控制的自动化黑客行为。
该案例符合研究人员和 AI 公司今年所描述的情况：强大的 AI 模型正在显著缩短严肃攻击工作所需的时间和技能。Anthropic 报告称，犯罪和国家支持的团体已经在使用其 Claude 模型进行真实的入侵，而不仅仅是回答问题。
OpenAI 是 Hacktron 称之为 HEIF Heist 的更大项目中的一个目标。团队表示，在大约两个月的时间里，他们发现了其他大型公司使用的软件中相同类别的图像解码漏洞，总成本不到 3,000 美元的 AI 使用费用。它将这一活动与 Slack、Meta 产品、GitHub Enterprise 和 Next.js 等 Web 框架中报告的漏洞联系起来。
这些更广泛的主张支持不均。Next.js 漏洞在 Vercel 自己的建议中得到了确认，而 libheif 的维护者确认了与 Meta 相关的漏洞的有效代码执行利用。跨多个应用程序的代码执行的更广泛主张尚未得到独立确认，这一点《黑客新闻》在首次报道 Next.js 漏洞时也指出。
更广泛的活动使用了不同的模型，即 OpenAI 自己的 GPT-5.6 Sol，用于团队事先对目标一无所知的情况。研究人员表示，似乎只有一家企业 Shopify 注意到了这一活动，尽管其图像处理器在数千次测试中反复崩溃。