吳明宜一組研究人員今年 7 月底通報 OpenAI 內部環境存在漏洞，並表示已利用 Anthropic Claude 協助完成概念驗證 (PoC)，最終得以存取 OpenAI 內部程式庫。研究團隊指出，OpenAI 已針對相關問題完成修補，並在 9 月就其中一項單一簽入 (SSO) 漏洞支付 6,500 美元抓漏獎金。
根據資安業者 Hacktron AI 公布內容，研究人員 Harsh Jaiswal 、 Mohan Pedhapati 與 Rahul Maini 透過串聯兩個漏洞，取得對 OpenAI 程式儲存庫 (repo) 的存取權。第一個漏洞出現在 OpenAI 論壇 (community.openai.com) 。該論壇託管於 Discourse 平台，而 Discourse 用於處理用戶上傳圖片的 ImageMagick Docker 容器中，其 HEIF/AVIF 解析套件 libheif 存在記憶體緩衝溢位 (buffer overflow) 漏洞。 libheif 是業界常用的開原檔案格式編碼／解碼器。研究團隊表示，攻擊者可上傳特製 HEIC 圖片，在 Discourse 伺服器上觸發遠端程式碼執行 (RCE)，進而在論壇環境內搜尋資訊，或嘗試存取與之相連的系統。
Hacktron AI 指出，第一個漏洞主要影響外圍系統；要進一步進入 OpenAI 內部環境，關鍵在第二個漏洞，位於 OpenAI 的 SSO 身分驗證與授權機制。研究人員描述，OpenAI 內部支援「Sign in with OpenAI」登入機制，已完成驗證的使用者與服務可在後續存取 OpenAI 其他服務，包含內部使用的 ChatGPT 或 Codex 等。
研究團隊也說明其 PoC 開發過程，包含先利用 Anthropic 的 Opus 4.8 找出 libheif 漏洞，接著開發概念驗證程式，能在關閉位址空間配置隨機化 (ASLR) 保護下針對 ImageMagick 與 libheif 環境執行程式碼，最後運用 Anthropic 於 7 月發布的 Opus 5，完成可在 OpenAI 真實環境中執行 RCE 的 PoC 。在取得論壇環境存取權後，研究人員表示，他們進一步取得 OpenAI 員工先前使用「Sign in with OpenAI」登入論壇時所產生的 SSO 執行階段權杖 (session token) 。研究團隊認為，該權杖的權限範圍過廣，可存取該員工的 ChatGPT 與 Codex 主帳號 API，進而存取 Codex 的程式儲存庫 monorepo，甚至其他連接器。
Hacktron AI 表示，研究人員於 7 月 25 日通報 OpenAI 後，OpenAI 當天完成修補；研究團隊也同步通報 Discourse，後者隔天發布更新版本 (GHSA-vhm9-85gw-x335) 。此外，libheif 維護團隊已在 1.23.2 版本修補漏洞，並於 9 月 14 日釋出 1.23.4 版。 Hacktron AI 指出，OpenAI 於 9 月支付 6,500 美元獎金，以表彰研究團隊找出的 SSO 漏洞。
（綜合外電報導）