Catena di Exploit Assistita da Claude Compromette i Repos Interni di OpenAI

TL;DR

I ricercatori di sicurezza di Hacktron AI hanno concatenato una vulnerabilità di heap overflow nella libreria di immagini libheif con una configurazione errata del single sign-on (SSO) per compromettere i repository interni di OpenAI. L'attacco ha sfruttato Claude Opus 5 di Anthropic per sviluppare un exploit affidabile, impossessandosi dell'account ChatGPT di un dipendente e aprendo una pull request nel monorepo interno di OpenAI. OpenAI ha corretto il problema entro 14 ore e pagato una taglia di $6.500.

Introduzione: Una violazione in 72 ore

Il 25 luglio 2026, un team di ricerca di tre persone di Hacktron AI ha dimostrato una realtà preoccupante: con l'aiuto dell'AI, le catene di exploit sofisticate non sono più appannaggio esclusivo di stati-nazione ben finanziati. Harsh Jaiswal, Mohan Pedhapati e Rahul Maini hanno compromesso i repository interni di OpenAI in meno di 72 ore, utilizzando una combinazione di un heap overflow noto ma non corretto e un difetto nell'infrastruttura di identità.

La catena di attacco è iniziata con un'immagine HEIC dannosa caricata sul forum della community di OpenAI, basato su Discourse. Quell'immagine ha attivato un heap overflow in libheif, un decoder di immagini open source ampiamente utilizzato. Da lì, i ricercatori hanno sfruttato una configurazione errata dell'SSO per prendere il controllo degli account ChatGPT e Codex di un dipendente OpenAI, ottenendo infine l'accesso all'organizzazione GitHub interna dell'azienda.

"Siamo solo tre ragazzi con abbonamenti a Claude e Codex," ha detto Pedhapati al Wall Street Journal, sottolineando quanto siano diventate accessibili le capacità offensive avanzate.

La catena tecnica: Dall'immagine al repo interno

La catena di exploit si è sviluppata in nove fasi distinte, ciascuna basata sulla precedente:

• Heap overflow in libheif: Un heap buffer overflow in libheif 1.19.7, distribuito con Debian 12, ha permesso primitive di lettura/scrittura fuori dai limiti durante la decodifica HEIC.
• Backport di sicurezza mancante: Il codice vulnerabile era stato corretto a monte nel 2025, ma il commit non era stato documentato come fix di sicurezza e non aveva ricevuto alcun CVE, quindi Debian non lo ha mai backportato.
• Integrazione con ImageMagick: Discourse passa i file HEIF a ImageMagick per la conversione, esponendo il parser libheif a file controllati dall'attaccante.
• Caricamento immagini su Discourse: La funzione di caricamento dell'immagine del profilo del forum è diventata il vettore di attacco.
• Compromissione del forum OpenAI: È stata ottenuta RCE su community.openai.com.
• Configurazione errata dell'SSO: L'autenticazione del forum non isolava adeguatamente le sessioni da altri servizi OpenAI.
• Prese di controllo di ChatGPT/Codex: I ricercatori hanno avuto accesso agli account di un dipendente.
• Integrazione con GitHub: Codex era connesso all'organizzazione GitHub di OpenAI.
• Accesso al repo interno: È stata aperta una PR innocua nel monorepo openai/openai.

Claude Opus 5: Il punto di svolta

I ricercatori hanno inizialmente faticato con l'exploit. Utilizzando Claude Opus 4.8, hanno speso più sessioni senza riuscire a produrre un exploit funzionante contro la configurazione predefinita di Discourse con ASLR abilitato. La situazione è cambiata drasticamente quando Anthropic ha rilasciato Claude Opus 5.

"Opus 4.8 ha faticato in diverse sessioni per produrre un exploit funzionante con ASLR abilitato," ha scritto il team. "Entro poche ore dal rilascio di Opus 5, gli abbiamo dato lo stesso problema e ha avuto successo." Il nuovo modello ha prodotto un exploit ARM64 funzionante per un Mac locale in tre ore, quindi lo ha portato nell'ambiente x86-64 con la configurazione jemalloc utilizzata da Discourse.

I ricercatori hanno quindi messo Claude in un ciclo autonomo contro la propria istanza Discourse Cloud, inoltrata attraverso un dominio in stile CTF. Entro le 10:00, l'agente aveva ottenuto RCE e dimostrato l'accesso leggendo /etc/hosts. Lo stesso script di exploit ha funzionato contro l'istanza di OpenAI.

Il difetto SSO: Un problema più profondo

Mentre la vulnerabilità libheif ha fornito il primo punto d'appoggio, la configurazione errata dell'SSO è stata il vettore di escalation critico. I ricercatori hanno sottolineato che questo problema non era specifico di Discourse ma inerente all'infrastruttura di identità di OpenAI.

"Se un qualsiasi servizio OpenAI di prima o terza parte che utilizza l'SSO di OpenAI fosse stato compromesso, avrebbe portato allo stesso accesso," hanno scritto. "Discourse era solo un modo per dimostrarlo." Ciò significa che la compromissione del forum avrebbe potuto essere sostituita da qualsiasi altro servizio vulnerabile integrato con l'SSO di OpenAI, rendendo il difetto di identità la preoccupazione più sistemica.

Prova di concetto: Una PR innocua

Per dimostrare l'impatto senza accedere a dati sensibili, i ricercatori hanno utilizzato l'account Codex del dipendente compromesso per aprire una pull request nel monorepo interno di OpenAI. Hanno quindi cessato tutti i test intorno alle 15:30 UTC del 25 luglio.

OpenAI ha riconosciuto il rapporto circa 14 ore dopo la presentazione iniziale, ha confermato la correzione e successivamente ha pagato una taglia di $6.500. In particolare, OpenAI ha chiarito che il premio riconosceva la scoperta dell'SSO, poiché i test contro il forum ospitato da Discourse erano esplicitamente esclusi dal loro programma bug bounty.

Discourse, da parte sua, ha risposto rapidamente: una correzione era pronta entro lunedì, con l'aggiunta di sandboxing per l'elaborazione delle immagini come difesa in profondità. L'avviso GHSA-vhm9-85gw-x335 è stato pubblicato con indicazioni per la patch e la ricostruzione.

Implicazioni più ampie: Il HEIF Heist

Questo attacco fa parte di un progetto di ricerca più ampio chiamato HEIF Heist, che ha tracciato le vulnerabilità di libheif attraverso Slack, Meta, GitHub Enterprise, Ruby on Rails e framework JavaScript come Next.js, Astro e Gatsby. I ricercatori avvertono che qualsiasi applicazione che accetta immagini .heic/.heif/.avif è probabilmente interessata.

L'economia dell'attacco è sorprendente: l'intero progetto di ricerca di due mesi è costato meno di $3.000 in token AI. Adattare l'exploit a ogni nuova azienda richiedeva tipicamente uno o due giorni, e i ricercatori hanno notato che nessuna azienda ha rilevato la loro attività tranne Shopify, anche dopo che migliaia di immagini hanno mandato in crash i loro processori di immagini.

"Questo non era hacking completamente autonomo, e la guida umana qualificata è rimasta importante," ha scritto il team, "ma la quantità di lavoro che un piccolo team poteva svolgere è aumentata drasticamente."

Perché è importante: L'erosione della sicurezza attraverso l'oscurità

I ricercatori sostengono che il software ha a lungo beneficiato di "sicurezza attraverso la complessità"—le vulnerabilità pubbliche erano ancora difficili da sfruttare senza competenze rare e tempo significativo. L'AI sta rimuovendo quella barriera.

"Il lavoro che una volta richiedeva un team ben finanziato e mesi di sforzo può ora essere compresso in giorni," hanno scritto. Questo cambiamento richiede che le ipotesi di sicurezza raggiungano le capacità degli attaccanti. I modelli di minaccia devono tenere conto dell'economia dello sfruttamento assistito dall'AI, dove un piccolo team con $3.000 in potenza di calcolo può prendere di mira aziende AI all'avanguardia.

Patch e raccomandazioni

Le organizzazioni che utilizzano libheif dovrebbero agire immediatamente:

• Aggiornamento a monte: Installare gli ultimi pacchetti libheif e libde265 con patch di sicurezza. Al 14 settembre 2026, l'ultima release di sicurezza a monte è la v1.23.4.
• Verificare i backport della distribuzione: Debian ha pubblicato DSA-6417-1 per libheif; assicurarsi che il pacchetto includa il backport di sicurezza.
• Ricostruire Discourse: Le installazioni Discourse self-hosted devono eseguire git pull seguito da ./launcher rebuild app—un semplice aggiornamento dell'interfaccia web potrebbe non sostituire l'immagine vulnerabile sottostante.
• Difesa in profondità: Disabilitare la decodifica HEIF/AVIF non attendibile dove non necessaria, o isolare le pipeline di elaborazione delle immagini in sandbox hardened ed effimeri. La policy di sicurezza di ImageMagick può limitare i formati accettati.

Conclusione

La ricerca di Hacktron dimostra che l'AI sta cambiando fondamentalmente il panorama della sicurezza offensiva. Ciò che una volta richiedeva le risorse di uno stato-nazione è ora realizzabile da tre ricercatori con abbonamenti AI e poche migliaia di dollari. Per le aziende che costruiscono la prossima generazione di AI, questo è un campanello d'allarme: la sicurezza di base deve evolversi rapidamente quanto le capacità degli strumenti che creano.

Come hanno notato i ricercatori, "L'azienda che costruiva AGI aveva standard firewall simili a quelli realizzati da un'azienda esternalizzata." Il divario tra le capacità dell'AI e le pratiche di sicurezza è ora la vulnerabilità più critica di tutte.