Белые хакеры получили доступ к внутреннему репозиторию OpenAI через уязвимость в libheif

Стартап Hacktron AI 13 сентября опубликовал отчет о том, как связал две уязвимости в инфраструктуре OpenAI и добрался до внутреннего монорепозитория компании. Атаку провели 25 июля 2026 года. Всю цепочку от первых находок до доступа к репозиторию команда уложила в 72 часа.

Дыру нашли в обработке изображений на форуме community.openai.com, работающем на Discourse. Файлы HEIC и HEIF форум передавал в ImageMagick, а тот использовал библиотеку libheif. Сессия Claude Opus 4.8 показала, что в установленной версии libheif не было части security-бэкпортов, из-за чего при декодировании HEIC возникало переполнение буфера кучи. 24 июля модель собрала рабочий эксплойт с отключенным ASLR, но стабильно обойти защиту в штатной конфигурации Discourse не смогла. В тот же вечер вышла Claude Opus 5. За три часа она подготовила рабочий эксплойт под ARM64 для локального Mac, затем перенесла его на x86-64 и конфигурацию jemalloc, которую использует Discourse. К 06:00 25 июля исследователи подтвердили локальный RCE через загрузку картинки, к 10:00 автономный агент получил RCE на Discourse Cloud, а затем и на сервере OpenAI.

Вторая уязвимость была в системе единого входа OpenAI. Она давала перехват аккаунтов ChatGPT и Codex у всех, кто заходил на форум через учетную запись OpenAI. Команда взяла аккаунт сотрудника, чей Codex был подключен к GitHub-организации OpenAI, и попросила его открыть pull request #1186742 во внутреннем монорепозитории, чтобы подтвердить доступ, не просматривая код.

OpenAI закрыла дыру примерно за 14 часов, Discourse подготовила фикс к 27 июля и выпустила рекомендацию GHSA-vhm9-85gw-x335 28 июля. 1 сентября OpenAI выплатила исследователям $6500, уточнив, что форум на Discourse не входил в программу баг-баунти. Весь проект HEIF Heist занял два месяца и обошелся менее чем в $3000 на токены.