Nel corso di una breve campagna estiva, il team di sicurezza Hacktron è riuscito a penetrare l’infrastruttura di OpenAI accedendo al monorepo interno dove risiede il codice sorgente di tutti i prodotti dell’azienda. L’attacco, completato tra il 23 e il 25 luglio, ha dimostrato come una combinazione di vulnerabilità di basso livello e l’uso di modelli generativi possa trasformarsi in un potente vettore di offensive security.
Da un’immagine corrotta al server del forum
Il punto di ingresso è stato il forum pubblico di OpenAI, basato sulla piattaforma Discourse. Quando un utente carica un file nei formati HEIF o HEIC, il sistema lo elabora tramite ImageMagick che a sua volta invoca la libreria libheif. Hacktron ha scoperto che la versione 1.19.7 della libreria presente nel container Docker di Discourse non includeva le correzioni di sicurezza recently pubblicate, lasciando aperta una falla di heap buffer overflow. Un heap buffer overflow consente a un attaccante di leggere o scrivere oltre i limiti di memoria assegnati, aprendo la strada all’esecuzione di codice arbitrario.
Creazione dell’exploit con Claude Opus 5
Per generare un exploit funzionante, i ricercatori hanno sfruttato il modello di Anthropic Claude Opus 5. Dopo un tentativo iniziale con la versione 4.8, che non è riuscita a superare le difese ASLR, il rilascio del modello 5 ha permesso di produrre in sole tre ore un payload valido per architettura ARM64, successivamente adattato all’ambiente x86-64 del server Discourse. Il modello è stato ingannato facendogli credere di operare in una sfida Capture The Flag così da aggirare le restrizioni etiche integrate.
Escalation verso gli account aziendali e il monorepo
Con il controllo del server del forum, Hacktron ha individuato una seconda vulnerabilità nel meccanismo Single Sign-On (SSO) di OpenAI, collegato al servizio “Sign in with OpenAI”. Questa debolezza ha permesso di impersonare gli account dei dipendenti, ottenendo l’accesso a ChatGPT e Codex. Uno di questi account era configurato con un token di autorizzazione verso il repository interno di GitHub il cosiddetto monorepo di OpenAI. I ricercatori hanno così potuto aprire la pull request #1186742 come prova di concetto, dimostrando l’accesso completo al codice sorgente senza provocare danni.
Risoluzione e ricompensa
Il 25 luglio Hacktron ha interrotto le sue attività e ha segnalato le vulnerabilità a OpenAI tramite il programma bug bounty. La risposta è stata rapida: OpenAI ha revocato i token compromessi, ristretto i permessi di accesso al forum e ha collaborato con Discourse per isolare la fase di elaborazione delle immagini. La patch di libheif è stata distribuita da Debian l’8 agosto, mentre Discourse ha introdotto ulteriori sandbox il 28 luglio. Per la dimostrazione di “accesso al contenitore HEIF”, Hacktron ha ricevuto un premio di 6.500 dollari, con un investimento di 3.000 dollari in token per utilizzare i modelli.
Questo caso evidenzia come la sicurezza dei sistemi basati su IA non dipenda solo dalla robustezza dei modelli, ma anche dalla solidità delle dipendenze software e dei meccanismi di autenticazione. Gli esperti avvertono che il modello di attacco, se impiegato da attori malintenzionati, potrebbe avere conseguenze ben più gravi.
