Trzyosobowy zespół startupu Hacktron AI wykorzystał model Claude, żeby przejąć konta pracowników OpenAI i dotrzeć do wewnętrznego repozytorium kodu firmy. Całość zajęła mniej niż trzy doby, a koszt tokenów AI dla całej szerszej kampanii nie przekroczył 3000 dolarów. To nie był atak przestępczy - badacze działali w ramach programu bug bounty i po wszystkim zgłosili luki. Ale wniosek, który z tego płynie, powinien zaniepokoić każdą firmę i instytucję: bariera wejścia do zaawansowanych cyberataków właśnie gwałtownie spadła.
Co się wydarzyło
18 września 2026 "Wall Street Journal" opisał operację, którą przeprowadził startup Hacktron AI - trzech badaczy: Harsh Jaiswal, Mohan Pedhapati i Rahul Maini. W lipcu, w ramach programu bug bounty OpenAI, połączyli dwie krytyczne luki w jeden łańcuch ataku. Efekt: dostęp do kont ChatGPT i Codex należących do pracowników OpenAI, a przez nie - do wewnętrznego monorepo firmy na GitHubie.
Żeby udowodnić skalę dostępu, nie sięgając po żaden wrażliwy kod, badacze użyli Codeksa przejętego pracownika do otwarcia pull requesta we wewnętrznym repozytorium OpenAI. OpenAI potwierdziło naprawę luk i wypłaciło zespołowi 6500 dolarów nagrody.
Jak sami podsumowali we wpisie na X: "AI zmniejsza ilość rzadkiej wiedzy potrzebnej do tworzenia exploitów. Praca, która kiedyś zajmowała miesiące, dziś zajmuje dni."
Łańcuch ataku, krok po kroku
Punktem wejścia było coś tak banalnego jak przesłanie zdjęcia na forum.
Gdy użytkownik wrzucał na forum społecznościowe OpenAI (community.openai.com) plik w formacie HEIC lub HEIF - tym, którego domyślnie używają iPhone'y - Discourse, oprogramowanie obsługujące forum, przepuszczał go przez łańcuch narzędzi konwertujących obraz do standardowego JPEG. Pierwszym przystankiem był ImageMagick, popularne narzędzie do przetwarzania grafiki. Ponieważ nie obsługuje on formatu Apple, przekazywał plik dalej - do biblioteki libheif.
I tu tkwił problem. W libheif ukryty był błąd zarządzania pamięcią (heap buffer overflow). Odpowiednio spreparowany obraz powodował, że biblioteka błędnie obliczała nakładanie się warstw obrazu - a to wystarczyło, żeby przejąć kontrolę nad serwerem forum.
Niewygodny dla branży szczegół: ta luka została naprawiona przez twórców libheif kilka miesięcy wcześniej. Poprawki nie oznaczono jednak formalnie jako naprawy bezpieczeństwa, więc nie dostała numeru CVE - standardowego identyfikatora znanych podatności. To prawdopodobnie dlatego oprogramowanie używane przez Discourse wciąż działało na podatnej wersji. Obraz Dockera Discourse bazował na Debianie 12, który instalował podatną wersję libheif 1.19.7.
Po zdobyciu dostępu do serwera forum badacze wykorzystali drugą lukę - błąd w konfiguracji logowania (SSO) OpenAI. To on zamienił przejęcie forum w dostęp do kont ChatGPT i Codex. Badacze podkreślają, że problem nie był specyficzny dla Discourse - to luka po stronie SSO OpenAI, a forum było tylko jednym ze sposobów jej udowodnienia.
Przełom nastąpił w noc premiery nowego modelu
Najbardziej wymowny jest wątek dotyczący samych modeli AI.
Na początku badacze korzystali ze specjalnej, udostępnionej badaczom bezpieczeństwa wersji Claude Opus 4.8. Ten model nie potrafił zbudować działającego exploita przy włączonym mechanizmie ochronnym ASLR - próbował w kilku sesjach i zawodził.
To zmieniło się z dnia na dzień. Wieczorem 24 lipca Anthropic wydał Claude Opus 5. Badacze uruchomili nową sesję - i w ciągu trzech godzin mieli działający exploit na architekturę ARM64, a potem port na środowisko x86-64 używane przez Discourse. Jak napisali: "Opus 4.8 zmagał się przez kilka sesji, żeby stworzyć działający exploit. W ciągu kilku godzin od premiery Opus 5 daliśmy mu ten sam problem i udało się."
Warto dodać ważny niuans: Opus w trybie autonomicznym odmawiał pisania exploita wymierzonego w zdalny, realny system. Badacze obeszli to, kierując zadanie przez proxy, które upodabniało cel do ćwiczeniowego zadania typu "capture the flag". To pokazuje, że zabezpieczenia modelu istnieją - ale zdeterminowany zespół potrafi je obejść.
W szerszej kampanii badawczej (nazwanej "HEIF Heist", obejmującej m.in. Slacka, Metę i GitHub Enterprise) widać było kolejny skok - z Opus 5 na GPT-5.6 Sol, gdy trzeba było atakować cel bez żadnej wiedzy o jego środowisku.
Dlaczego to ważne
Przez lata oprogramowanie chroniła "ochrona przez złożoność". Kod i nawet sama luka mogły być publiczne, ale zamiana błędu w niezawodny exploit wymagała rzadkiej wiedzy, dużo czasu i znajomości środowiska celu. Znane luki w pamięci były kosztowne w wykorzystaniu, a prawdziwe zero-daye rezerwowano dla najcenniejszych celów.
To nigdy nie było prawdziwą granicą bezpieczeństwa - ale w praktyce chroniło zwykłe firmy. AI tę ochronę usuwa, zamieniając rzadką wiedzę w moc obliczeniową.
Matt Fredrikson, szef firmy Gray Swan zajmującej się bezpieczeństwem AI, ujął to dosadnie: za 200 dolarów miesięcznie każdy może użyć tych narzędzi i włamać się do firmy takiej jak OpenAI. Skoro może się to zdarzyć jej - a trudno zarzucić OpenAI zaniedbania w higienie cyberbezpieczeństwa - może się zdarzyć każdemu.
Do tego dochodzi pytanie zadane w mediach społecznościowych: skoro trzech ludzi potrafi coś takiego, to co potrafi aparat państwowy? Ten kontekst nie jest teoretyczny. W tym samym tygodniu USA, Japonia, Australia i Niemcy wspólnie przypisały powiązanej z Koreą Północną grupie WaterPlum kampanię wymierzoną w specjalistów IT, która objęła co najmniej 30 tysięcy urządzeń w ponad 100 krajach.
Co z tym zrobić
Wnioski dla zespołów bezpieczeństwa - i dla polskich firm oraz instytucji - są konkretne.
Aktualizuj biblioteki u źródła. Zainstaluj najnowsze wersje libheif i libde265 z kanałów bezpieczeństwa swojej dystrybucji. Luka nie jest przypisana do jednej wersji - dotyczy całej rodziny wydań.
Izoluj przetwarzanie obrazów. Jeśli aplikacja przyjmuje pliki HEIF/AVIF od użytkowników, wyłącz dekodowanie niezaufanych formatów tam, gdzie nie jest potrzebne, albo odizoluj potok przetwarzania obrazów w utwardzonym, jednorazowym środowisku (sandbox). Discourse po zgłoszeniu od razu dodał takie sandboxowanie ImageMagick.
Zaktualizuj model zagrożeń. Realistyczna ocena ryzyka powinna dziś uwzględniać ekonomię ataku - to, że koszt i wiedza potrzebne do jego przeprowadzenia radykalnie spadły. Założenie, że "sofistykowany atak wymaga zasobów państwa", przestaje być prawdziwe.
Główny wniosek jest prosty i niewygodny: założenia dotyczące bezpieczeństwa muszą nadążyć za realnymi możliwościami napastników. A te właśnie zmieniły się z dnia na dzień - dosłownie w noc premiery jednego modelu.