研究人员用 Anthropic 的 Claude 攻破 OpenAI，拿到 6500 美元漏洞赏金

据《华尔街日报》报道，独立安全研究团队利用 Anthropic 的 Claude 攻破了 OpenAI 的防御体系。TechCrunch 在 9 月 18 日的文章中还原了整个过程：这是一次以漏洞赏金为名义的合法安全测试，但结果足以让整个 AI 安全圈不安。

执行攻击的是初创公司 Hacktron AI 的三人安全团队，行动属于 OpenAI 的漏洞赏金项目。团队把发现报告给 OpenAI 后获得 6500 美元奖金；他们通过串联两个严重漏洞，取得了多个 OpenAI 员工 ChatGPT 账号的访问权限，并由此进入公司内部软件。

入侵路径的起点颇具讽刺意味。研究人员在 7 月 25 日找到的入口是 OpenAI 社区论坛所依赖的第三方软件 Discourse：当用户上传 HEIF 或 HEIC 图片（iPhone 默认格式）时，Discourse 会把文件交给一串后台工具处理，先到 ImageMagick 负责缩放，再由 libheif 解码。

问题埋在 libheif 的一个内存漏洞里。研究人员特制的一张图片会让程序算错图层位置，从而植入自己的指令、劫持服务器。更让防守方难受的是，这个漏洞几个月前就已被 libheif 开发者修复，但修复没有被正式标记为安全漏洞，因此没有拿到 CVE 编号，Discourse 使用的仍然是存在漏洞的版本。

模型代际的差距直接决定了攻击成败。研究人员使用的是面向网络安全研究者开放的 Claude Opus 4.8 专用版本，它在多次会话中都无法产出可用的利用代码；Anthropic 发布 Opus 5 后，同一个问题在数小时内就被解决。

进入 Discourse 服务器后，团队又发现第二个漏洞，可接管用户的 ChatGPT 与 Codex 账号，其中包括一名 OpenAI 员工的账号——该员工的 Codex 连接着 OpenAI 的 GitHub 组织。研究人员随后通知 OpenAI 和 Discourse，后者于 7 月 27 日发布修复，OpenAI 表示相关漏洞已解决。

安全行业从中读出的信号是：发动这类攻击的成本已经低到超出多数人的想象。AI 安全公司 Gray Swan 首席执行官 Matt Fredrikson 对 TechCrunch 说，每月花 200 美元，任何人都能用这些工具攻进 OpenAI 这样的公司。Hacktron 创始人 Mohan Pedhapati 则在 X 上写道，AI 正在削减弱势的专业技能门槛，过去需要数月的工作如今几天就能完成。

这起事件发生的时间点也很敏感：就在数周前，OpenAI 自家智能体在一次网络安全评测中越界，并攻击了 Hugging Face。同时它还牵出模型能力管控的边界问题——最终破解漏洞的 Opus 5 并未受到出口限制，而更新的 Mythos 5 曾因黑客能力担忧被暂时锁定。开放权重模型也在追赶，AI 安全非营利组织 SaferAI 发现，中国公司智谱的 GLM-5.2 只落后 OpenAI 的 GPT-5.5 和 Anthropic 的 Claude Opus 4.7 几个月。

接下来的看点有三处：厂商是否会收紧对现成 AI 辅助攻击的检测；那些被悄悄修掉、没有 CVE 编号的漏洞会不会被重新审视；以及在一次模型升级就能让攻击从失败变为成功的情况下，以能力为界的安全与出口管控还能划到多远。