Představa, že tři lidé s předplatným Claude a Codex během necelých 72 hodin získají přístup k účtům zaměstnanců OpenAI, se mi nečte úplně klidně. Ne proto, že by AI sama od sebe „hackovala“, ale protože tenhle případ dost konkrétně ukazuje, jak zkracuje cestu od nápadu k fungujícímu útoku.
Tým nezávislých bezpečnostních výzkumníků Hacktron přitom nepopisuje vzdálenou teoretickou možnost. Pronikl přes službu třetí strany do prostředí firmy, která patří mezi nejviditelnější hráče v AI. Trochu absurdní je, že se v tomhle příběhu potkávají Claude od Anthropicu a OpenAI.
Vstupní dveře byly komunitní fórum
Hacktron využil chybu v Discourse, tedy softwaru pro online fóra, který hostuje komunitní fóra OpenAI. Slabé místo mělo souviset se zpracováním obrázků HEIF, formátu, se kterým se člověk setká třeba u fotek z iPhonu. Z vadného obrazového souboru se tak najednou stal nástroj pro průnik; moje znalost formátů fotek tím dostala lehce paranoidní aktualizaci.
Výzkumníci uvádějí, že Claude Opus 5 vyšel večer 24. července a už v deset dopoledne následující den s jeho pomocí dosáhli RCE v Discourse Cloud. RCE neboli remote code execution znamená možnost spouštět vlastní kód na vzdáleném systému. V bezpečnosti je to velmi vážný typ chyby, protože útočník už jen nekouká skrz škvíru ve dveřích, ale může se dostat dovnitř.
Přes instanci Discourse se následně dostali k účtům zaměstnanců OpenAI a k jejímu GitHubu. Konkrétně šlo o repozitář přezdívaný Monorepo, v němž mají být podle zdrojů Wall Street Journalu algoritmická tajemství OpenAI.
Důkaz ano, kód ne
Důležitý detail: Hacktron tvrdí, že interní kód v Monorepo sám neotevřel. Aby doložil získaný přístup, poslal pull request z Codex účtu zaměstnance. Pull request je návrh změny kódu v GitHubu; v tomto případě šlo hlavně o ověření, že účet skutečně ovládali, ne o snahu odnést obsah repozitáře.
Tohle rozlišení mi přijde podstatné. Titulek o „hacknutí OpenAI“ zní, jako by někdo odnesl kompletní technické plány. Z dostupného popisu ale plyne přístup k účtům a možnost tento přístup předvést, nikoli potvrzené zkopírování interního kódu. I tak je to samozřejmě problém, který bych si jako správkyně čehokoli s firemním přihlášením rozhodně nepřála řešit v pátek odpoledne.
AI zřejmě nezpůsobila chybu, ale zrychlila její využití
Hacktron projekt nazval HEIF Heist a píše, že úprava útoku pro různé cíle zabrala jen jeden nebo dva dny a stála méně než 3 000 dolarů v tokenech. Tokeny jsou malé textové jednotky, podle nichž se u jazykových modelů typicky počítá cena jejich používání. Mezi testovanými či zmiňovanými cíli byly vedle OpenAI také Slack, Meta, GitHub Ent, Rails, Next.js a ImageMagick.
Neberu z toho, že Claude umí bez člověka prolomit každou firmu. Tým nejspíš věděl velmi dobře, co hledá, a zranitelnost ležela v konkrétním řetězci služeb a zpracování obrázků. Přesto je rozdíl mezi „specialista dělá výzkum týdny“ a „malý tým adaptuje postup během dnů“. AI může pomáhat s analýzou, psaním kódu i zkoušením variant, tedy přesně s těmi pracnými kroky, které dřív útočníky brzdily.
Hacktron navíc říká, že jejich postup podle jejich vědomí rozpoznal jen Shopify. To bych ale brala opatrně: neznáme přesně rozsah testování ani to, co jednotlivé firmy interně zaznamenaly. Z podkladů také neplyne, zda podobnou cestou někdo úspěšně útočil mimo tento výzkum.
Opravená chyba není konec nepříjemné otázky
Nahlášené zranitelnosti už Discourse a OpenAI opravily. OpenAI za nalezení chyby podle Hacktronu vyplatila 6 500 dolarů, takže tahle část příběhu dopadla tak, jak má odpovědné bezpečnostní testování fungovat: výzkumníci problém ukážou, firma jej opraví a nehraje se na hrdiny s cizími daty.
Nejnepříjemnější na tom pro mě není samotná chyba v HEIF. Chyby budou existovat dál, protože software píšou lidé a lidé občas přehlédnou i věci, které mají přímo před nosem. Zajímavější je otázka, zda obrana zvládne stejně rychle využívat AI k hledání podezřelého chování, opravám a testování systémů. Tři lidé a několik předplatných totiž nejsou organizace s rozpočtem státu. A právě to z toho dělá zprávu, kterou není dobré jen odškrtnout jako další bezpečnostní incident.
Claude v tomhle příběhu nebyl pachatelem ani kouzelnou hůlkou. Byl velmi schopným nástrojem v rukou lidí, kteří věděli, co zkusit. To je možná méně filmové, ale o to užitečnější varování.
