Güvenlik Araştırmacıları Yapay Zeka Desteğiyle OpenAI Çalışan Hesaplarına Sızdı
Bağımsız araştırmacılar, Anthropic'in yapay zeka modellerini kullanarak üç günden kısa sürede OpenAI çalışan hesaplarına erişim sağladı ve algoritmik sırların yer aldığı bir GitHub deposuna ulaştı.
Hacktron bünyesindeki üç bağımsız güvenlik araştırmacısı, Anthropic Claude modellerini kullanarak 72 saatten kısa bir süre içinde OpenAI çalışan hesaplarına sızmayı başardı ve algoritmik sırları içeren bir GitHub deposuna erişti.
Olayın Gelişimi ve Süreç
Wall Street Journal'ın aktardığı bilgilere göre üç bağımsız güvenlik araştırmacısından oluşan Hacktron ekibi, Anthropic'in Claude Opus 4.8 ve 5 modellerini kullanarak OpenAI sistemlerine sızma operasyonunu 72 saatten kısa bir sürede tamamladı.
GitHub Deposuna Erişim
Araştırmacılar, OpenAI'ın algoritmik sırlarını barındırdığı belirtilen ve Monorepo adı verilen GitHub deposuna erişim sağlamayı başardı. Ekip, dahili kodlara doğrudan müdahale etmekten kaçınırken erişimi kanıtlamak amacıyla bir çalışanın Codex hesabı üzerinden çekme isteği gönderdi.
Discourse Açığı ve Zafiyetin Kullanımı
Sızma işlemi, OpenAI'ın topluluk forumlarını barındıran üçüncü taraf servis Discourse'un HEIF görüntülerini işleme sistemindeki bir zafiyetin istismar edilmesi yoluyla gerçekleştirildi. Claude Opus 5 modelinin piyasaya çıkışından kısa süre sonra araştırmacılar Discourse Cloud üzerinde uzaktan kod yürütme yetkisi elde etti.
Maliyet, Kapsam ve Ödül
HEIF Heist projesi kapsamında 3.000 dolardan daha az token maliyetiyle OpenAI dahil birçok farklı platform uyarlanabilirken, bildirilen açıklar Discourse ve OpenAI tarafından giderildi ve OpenAI güvenlik açığını bulan ekibe 6.500 dolar ödeme yaptı.