Sicherheitsforscher haben sich über das OpenAI-Forum Zugang zu ChatGPT- und Codex-Konten mehrerer Mitarbeiter verschafft. Von dort erreichten sie auch ein internes GitHub-Repository. Ausgangspunkt war eine manipulierte Bilddatei. Entscheidend wurde jedoch eine zweite Schwachstelle im Login von OpenAI. Das Team meldete beide Lücken im Juli, nun beschreibt es den Angriff öffentlich.
Vom Bild zum Mitarbeiterkonto
Das Forum verarbeitet hochgeladene HEIF-Bilder mit ImageMagick und der Bildbibliothek libheif. In dieser Bibliothek fanden die Forscher von Hacktron eine Speicherlücke, über die sie Code auf dem Forumserver ausführen konnten. Discourse bestätigt die Schwachstelle in einer Sicherheitsmeldung.
Quelle: hacktron
Der Zugriff auf das Forum allein hätte noch keinen Zugang zu internen Repositories eröffnet. Erst ein Fehler bei OpenAIs zentraler Anmeldung erlaubte es dem Team, ChatGPT- und Codex-Konten zu übernehmen, die sich zuvor beim Forum angemeldet hatten. Betroffen waren darunter auch OpenAI-Mitarbeiter. Welche weiteren verbundenen Dienste erreichbar gewesen wären, hing von deren Konten ab.
Als Nachweis ließen die Forscher über das Codex-Konto eines Mitarbeiters einen harmlosen Pull Request im internen OpenAI-Repository erstellen. Sensiblen Code wollten sie dabei nicht einsehen. Danach stoppten sie den Hack.
OpenAI bestätigte die Behebung seines Login-Fehlers rund 14 Stunden nach der ersten Meldung. Discourse veröffentlichte wenige Tage später ein Update für die Bildverarbeitung. OpenAI zahlte 6.500 Dollar Prämie für den Fehler auf seiner Seite.
Anzeige
Claude half beim Angriff
Besonders brisant ist die Rolle von KI bei der Entwicklung des Angriffs. Laut Hacktron analysierte Claude die verwundbare Bibliothek und half, den Bildfehler in einen funktionierenden Angriff umzusetzen. Die Forscher steuerten und testeten den Ablauf selbst. Zwischen dem Beginn ihrer Untersuchung und dem Zugriff auf OpenAIs internes Repository lagen weniger als 72 Stunden.
