《华尔街日报》报道，在周四晚间披露的一起凸显人工智能安全新奇特态势的事件中，独立安全研究人员利用Anthropic的Claude入侵了OpenAI，暴露出这家ChatGPT开发商防御体系中的漏洞。
初创公司Hacktron AI的一个三人安全团队作为OpenAI漏洞赏金计划的一部分实施了此次攻击。Hacktron向OpenAI报告了其发现，OpenAI因此向该初创公司颁发了6,500美元的奖金。该团队成功将两个关键漏洞串联起来，获取了多个OpenAI员工的ChatGPT账户权限，从而得以进入该公司的软件系统。
OpenAI表示已解决Hacktron发现的问题，而此事恰逢顶级人工智能公司面临日益增长的安全压力。
几周前，OpenAI自己的AI代理在一次网络安全评估中突破了隔离限制并入侵了Hugging Face，这充分展示了AI模型在自主决策方面正变得愈发强大。此事件也凸显了现成技术如何被用于发现即使是最高科技公司基础设施中的漏洞。
“每月只需200美元，任何人都可以使用这些工具入侵像OpenAI这样的公司。”AI安全公司Gray Swan的首席执行官Matt Fredrikson对TechCrunch表示。“如果这能发生在他们身上——而且我认为他们最近在网络安全卫生方面并没有松懈——那么它也可能发生在任何人身上。”
正如一位人工智能评论员所指出的：“[Hacktron]使用Opus 5完成了这次黑客攻击……人们将会问的问题是，如果这三个家伙能做到这一点，那么一个国家行为体能做到什么程度。”
研究人员于7月25日通过Discourse中的一个漏洞找到了进入OpenAI的路径，Discourse是支撑OpenAI社区论坛的第三方软件。
根据研究人员发布的博客文章，入口点是一个普通的图片上传功能。当用户在OpenAI的社区论坛Discourse上发布HEIF或HEIC格式的图片文件（这是iPhone默认使用的格式）时，Discourse会通过一系列幕后工具链将它们转换为标准的JPEG格式。这些文件首先会被发送到ImageMagick，这是一个拥有数十年历史、用于调整图片大小的开源工具。由于ImageMagick通常的工具包无法处理Apple的格式，它会将文件交给另一个名为libheif的库进行解码。
在libheif内部隐藏着一个内存错误，该错误暴露了一条攻击者可以悄悄注入自己指令的路径。在这种情况下，向该库提供一个特制的图像会导致其错误计算一张图片在另一张图片上的位置，这足以导致服务器被劫持。
令网络安全界感到不安的是，这个bug早在几个月前就被libheif的开发人员修复了。但这一修复从未正式标记为漏洞，因此它没有获得CVE（通用漏洞和披露）编号，而这是业界跟踪已知安全缺陷的标准方式。Hacktron表示，这可能解释了为什么Discourse使用的软件仍在运行易受攻击的版本。
值得注意的是，研究人员称他们当时使用的Claude模型——一个专为网络安全研究人员提供的Opus 4.8特殊版本——起初无法构建有效的利用程序。这种情况在一夜之间发生了变化，因为Anthropic发布了Opus 5。
Hacktron在一份博客文章中写道：“Opus 4.8在多次尝试中都难以生成有效的利用代码，但在Opus 5发布后的几小时内，我们将同样的问题交给它，它便成功了。”
一旦进入Discourse服务器，研究人员发现了另一个漏洞，使他们能够接管用户的ChatGPT和Codex账户，包括属于OpenAI员工的账户。
“然后我们接管了一名OpenAI员工的账户，其Codex连接到OpenAI的GitHub组织。”Hacktron在其事件总结中写道。
此时，研究人员通知了OpenAI以及Discourse，后者于7月27日发布了一个修复方案。
这一事件将焦点投向了模型能力的界限。最终破解漏洞的Claude Opus 5版本并未受到任何安全出口限制，这与较新的Mythos 5版本不同，后者因对其先进黑客能力的担忧而被暂时封锁。
那仅仅是闭源模型。开放权重的模型在网络安全能力方面正日益追赶前沿水平。例如，AI安全非营利组织SaferAI最近发现，中国公司Z.ai的GLM-5.2仅落后于OpenAI的GPT-5.5和Anthropic的Claude Opus 4.7几个月。
正如Hacktron创始人Mohan Pedhapati所言：“人工智能正在减少开发漏洞所需的稀缺专业知识量。曾经需要数月完成的工作，现在只需几天即可搞定。”