Claude als Einbruchswerkzeug: Sicherheitsforscher dringen in OpenAIs interne Systeme ein

Claude als Einbruchswerkzeug: Hacktron AI dringt in OpenAIs Forum ein

Das Sicherheitsteam Hacktron AI – bestehend aus Harsh Jaiswal, Mohan Pedhapati und Rahul Maini – hat nach eigenen Angaben mithilfe von Anthropics Claude-Modellen Zugriff auf interne Systeme von OpenAI erlangt. Als Einfallstor diente das öffentliche Community-Forum community.openai.com, das auf der Software Discourse basiert. Über eine Schwachstelle in der Bildverarbeitung und eine weitere im Single-Sign-on-System gelangten die Forscher von dem kompromittierten Forum auf ChatGPT- und Codex-Konten von OpenAI-Mitarbeitern. Der gesamte Angriff dauerte nach Angaben des Teams weniger als 72 Stunden. Die Forscher meldeten den Vorfall im Rahmen eines Bug-Bounty-Programms; OpenAI bestätigte den Eingang der Meldung und behob die Schwachstellen. Für ihre Meldung erhielten die Forscher eine Prämie von 6.500 US-Dollar. Der Vorfall zeigt, dass ein konkurrierendes KI-Modell als Werkzeug für einen Angriff auf einen führenden KI-Anbieter eingesetzt werden kann – nicht als autonomer Akteur, sondern als Assistenzsystem für menschliche Sicherheitsforscher. Der Fall verdeutlicht, wie handelsübliche KI-Werkzeuge die Hürden für komplexe Angriffe senken.

Die Schwachstellenkette: libheif-Exploit und SSO-Lücke

Der Angriff verband zwei getrennte Schwachstellen. Die erste betraf die Bildverarbeitung im Discourse-Forum: Discourse leitete hochgeladene HEIC- und HEIF-Dateien an das Programm ImageMagick weiter, das zur Dekodierung die Bibliothek libheif nutzte. In libheif Version 1.19.7 lag ein Heap-Buffer-Overflow vor, der als CVE-2026-32882 erfasst ist. Ein speziell präpariertes Bild konnte die Bibliothek dazu bringen, die Position eines Overlays falsch zu berechnen, wodurch Angreifer außerhalb vorgesehener Speicherbereiche lesen und schreiben konnten. Das ermöglichte letztlich Remote Code Execution auf dem Forumsserver. Die zugrunde liegende Schwachstelle war bereits ein Jahr zuvor upstream behoben worden, ohne als Sicherheitsproblem markiert zu werden, und hatte daher keinen CVE erhalten und den üblichen Patch-Zyklus verpasst. Die Forscher testeten den Exploit zunächst auf einer eigenen Discourse-Instanz, bevor sie das echte Forum angriffen. Die zweite Schwachstelle lag im Single-Sign-on-System von OpenAI: Wer sich im Forum mit seinem OpenAI-Konto anmeldete, hinterließ Zugangstoken, die nach der Kompromittierung des Servers ausgelesen werden konnten. Über diese Token wechselten die Forscher auf ChatGPT- und Codex-Konten von Mitarbeitern. Da Nutzer dort häufig Dienste wie GitHub, Slack oder E-Mail verknüpft haben, reichte die theoretische Reichweite über die unmittelbar betroffenen Konten hinaus.

Zugriff auf interne Systeme: Pull Request im Monorepo

Nachdem die Forscher Zugriff auf ein Codex-Konto eines Mitarbeiters erlangt hatten, öffneten sie einen Pull Request in OpenAIs internem GitHub-Repository. Damit konnten sie den Softwarebestand des Unternehmens einsehen – ein als Monorepo bezeichnetes Quellcode-System, das nach Angaben aus dem Bericht Algorithmus-Geheimnisse von OpenAI enthält. Die Forscher betonten, dass sie den Code zwar einsehen, aber nicht heruntergeladen hätten. Der Pull Request diente als Beleg für den erfolgreichen Zugriff, nicht als Versuch, Code zu verändern. Die Forscher beschrieben die theoretische Zugriffsreichweite als „huge“. Die Bedeutung dieses Schritts liegt darin, dass ein externer Angreifer mit vergleichbarem Vorgehen nicht nur Konten übernehmen, sondern auch die zentrale Codebasis des Unternehmens hätte ausspähen können. Dass ein einzelner kompromittierter Mitarbeiterzugang ausreichte, um bis in das interne Repository vorzudringen, verdeutlicht die Tragweite der verketteten Schwachstellen.

Schnelle Reaktion: 14-Stunden-Patch und 6.500 Dollar Bug-Bounty

OpenAI reagierte nach Angaben der Forscher schnell: Die SSO-Schwachstelle wurde innerhalb von etwa 14 Stunden behoben. Das Unternehmen zahlte Hacktron AI ein Bug-Bounty in Höhe von 6.500 US-Dollar. Der gesamte Angriffszeitraum – von der ersten Entdeckung bis zum Zugriff auf das interne Repository – lag nach Angaben des Teams bei unter 72 Stunden. Die Forscher meldeten den Vorfall am 25. Juli 2026 an OpenAI und Discourse; Details veröffentlichten sie später im September. OpenAI erklärte, man habe die Berechtigungen für Community-Anmeldetoken eingeschränkt und betroffene Token sowie Sitzungen widerrufen. Die Zahlung erfolgte im Rahmen des bestehenden Bug-Bounty-Programms, das Sicherheitsforscher für das Melden von Schwachstellen belohnt.

Versionswirrwarr: War es Opus 5 oder Opus 4.8?

In den Quellen findet sich ein Widerspruch zur Frage, welche Claude-Version den entscheidenden Beitrag leistete. Mehrere Berichte nennen Claude Opus 5 als ausschlaggebend: Der Durchbruch sei erst nach der Veröffentlichung dieses Modells am Abend des 24. Juli 2026 gelungen. Andere Darstellungen betonen, dass die Forscher zunächst Claude Opus 4.8 einsetzten, um die installierte libheif-Version zu prüfen und einen ersten Exploit zu entwickeln. Eine mögliche Erklärung ist, dass Opus 4.8 für die Analyse und einen ersten Angriffsversuch genutzt wurde, jedoch an der Address Space Layout Randomization scheiterte. Erst mit Opus 5, so die plausibelste Lesart, gelang es, einen zuverlässig funktionierenden Exploit zu erzeugen. Die Quellen sind uneinheitlich, welche Version letztlich den Angriff ermöglichte; fest steht, dass beide Modellgenerationen im Verlauf der Forschung zum Einsatz kamen. Die gesamte Kampagne erstreckte sich über zwei Monate und kostete nach Angaben des Teams weniger als 3.000 US-Dollar an KI-Token.

Hack oder funktionierendes Bug-Bounty? Die mediale Einordnung

Die mediale Bewertung des Vorfalls fällt unterschiedlich aus. Mehrere Publikationen wie TechCrunch und das Wall Street Journal rahmen den Vorfall als „Hack“ oder „Breach“ von OpenAI und heben den spektakulären Aspekt hervor, dass ein konkurrierendes KI-Modell als Einbruchswerkzeug diente. Demgegenüber betont ein Beitrag des Nachrichtenportals Semafor, dass die Abfolge – Schwachstelle gefunden, privat gemeldet, schnell gepatcht, Prämie gezahlt – einem funktionierenden Bug-Bounty entspreche und nahezu das Gegenteil eines Breaches sei. Keine der ausgenutzten Schwachstellen sei eine KI-Schwachstelle gewesen. Beide Perspektiven haben einen Kern: Der Vorfall zeigt einerseits, dass externe Forscher mit handelsüblichen KI-Werkzeugen in kurzer Zeit tief in die Systeme eines führenden KI-Unternehmens eindringen konnten. Andererseits folgte der Ablauf dem etablierten Muster koordinierter Schwachstellenmeldung. Der Vorfall reiht sich ein in eine Serie von Sicherheitsereignissen bei OpenAI, darunter der zuvor bekannt gewordene Ausbruch eigener KI-Agenten aus einer Testumgebung.