OpenAI 泄露事件揭示 Claude 如何将一个图像漏洞变成内部访问路径
三名研究人员借助 Anthropic 的 Claude，将一个图像处理漏洞转化为对员工账户和内部代码系统的访问权限，导致 OpenAI 遭遇一次经授权的安全入侵。研究人员称，从最初发现到获得仓库访问权，整个 OpenAI 入侵过程不到 72 小时。
此次事件并不涉及犯罪分子窃取模型权重或公开专有代码。Hacktron AI 通过协调漏洞披露计划开展了此次操作，在证明已获得访问权限后便停止测试，并将相关弱点报告给 OpenAI 和 Discourse。
但这种负责任的收尾不应掩盖背后的警示：一个存在漏洞的论坛、权限过宽的登录令牌，以及一个接入 AI 的开发者账户，共同构成了通往全球最受关注科技公司之一内部的路径。
核心较量已不再只是 Anthropic 与 OpenAI 之间的竞争，而是 AI 辅助的攻击能力与那些诞生于聊天机器人尚未成为源代码、电子邮件、文档和协作系统入口之前的身份控制机制之间的对抗。
OpenAI 泄露事件经过
研究人员并未攻破某一道非同寻常的防线。他们将多个受信任系统中的常见弱点串联起来，最终形成了非同寻常的访问权限。
Hacktron 的研究人员 Harsh Jaiswal、Mohan Pedhapati 和 Rahul Maini 于 2026 年 7 月开始研究 OpenAI 的社区论坛。该论坛运行在广泛使用的讨论平台 Discourse 上，后者会处理用户上传的图像。
最初的弱点隐藏在图像处理流程深处。某些 HEIC 和 HEIF 文件会被送入 ImageMagick，而 ImageMagick 依赖开源库 libheif 对这些文件进行解码。Hacktron 发现，部署的软件中存在堆缓冲区溢出漏洞——这类内存错误可使经过特殊构造的数据覆盖相邻内存。
成功利用该漏洞后，攻击者可实现远程代码执行，即能够在受影响的服务器上运行命令。研究人员先在受控的 Discourse 安装环境中复现了这一结果，随后才对获授权的目标进行测试。
7 月 25 日，他们在服务 OpenAI 社区网站的 Discourse 环境中获得了代码执行和管理员访问权限。这本身已构成严重的论坛入侵，但仍不足以解释他们如何进入 OpenAI 的内部软件系统。
下一步涉及的是身份体系，而非另一项内存破坏漏洞。用户可以使用 OpenAI 身份登录社区论坛。据报道，为此签发的登录令牌携带了超出论坛所需范围的权限。
登录令牌是一种数字凭证，用于告诉接入服务用户是谁，以及该用户可以访问什么。Hacktron 表示，通过论坛环境暴露的令牌同样可用于访问 ChatGPT 和 Codex 账户。
部分受影响的身份属于 OpenAI 员工。其中一名员工的 Codex 环境接入了 OpenAI 的 GitHub 组织，这便形成了一条从公开社区服务通往私有软件仓库的路径。
研究人员指示被攻陷的 Codex 账户，在 OpenAI 的内部单体仓库中准备一份无害的拉取请求。单体仓库是指在同一位置存放多个相关项目代码的大型代码仓库。
Hacktron 表示，其避免查看敏感源代码，并在证明已获得访问权限后停止测试。其技术说明指出，验证证据是私有 openai/openai 仓库中的拉取请求 1186742。
据报道，OpenAI 的审查发现，相关活动仅限于读取私有仓库元数据和提交记录，随后对 README 文件发起了拉取请求。目前没有报告证据表明研究人员下载了该仓库、获取了模型权重、修改了生产软件，或访问了员工通信内容。
这些区别至关重要。“OpenAI 遭到入侵”准确描述了在获批研究期间实现的未授权访问，但不应被夸大为 OpenAI 的模型或客户数据库遭窃。
OpenAI 表示，其已收紧社区登录令牌的权限，并撤销了受影响的令牌和会话。Hacktron 称，该公司在首次报告后的约 14 小时确认完成修复。
Discourse 则单独处理了图像漏洞。其公开的安全公告将该漏洞评为高危，评分为 8.8，并将其标识为 CVE-2026-32882。
修复版本升级了受影响的依赖项，并在图像处理周围增加了沙箱隔离。沙箱可隔离高风险操作，使被攻陷组件更难进入周边系统。
因此，OpenAI 一侧的身份漏洞与 Discourse 一侧的图像漏洞是两个独立问题。任何一个单独存在时影响都更有限；但二者串联后，便跨越了论坛、AI 账户、编程代理、GitHub 与内部源代码之间的边界。
Claude 如何帮助构建漏洞利用程序
Claude 的重要性并不在于它独自发明了整套攻击，而在于它帮助将高度专业化的漏洞利用工程压缩为一个更短、由人主导的工作流程。
研究人员起初使用 Claude Opus 4.8，这是一款面向符合条件的网络安全从业者开放的版本。他们要求该模型分析 libheif 的弱点，并协助生成可用于利用该漏洞的代码。
早期尝试并未成功。根据 Hacktron 的说法，地址空间布局随机化使任务复杂化后，Opus 4.8 难以继续推进。这项防御机制会改变数据和可执行代码在内存中的位置，使可靠利用更加困难。
Anthropic 于 7 月 24 日发布 Claude Opus 5。随后，Hacktron 向这款新模型提出了同一个底层问题。
该团队称，Opus 5 在数小时内生成了可用的 ARM64 漏洞利用程序。研究人员随后将这一方法调整为适配目标 Discourse 环境使用的 x86-64 架构和内存分配器。
这一说法并不意味着毫无技术背景的人只需输入“黑进 OpenAI”，就能得到一次完整入侵。研究人员选择了目标，研究了软件路径，搭建测试环境，分析崩溃情况，引导模型，并决定如何验证每一个阶段。
他们还在获得论坛环境访问权后识别出独立存在的身份漏洞。决定性的结果来自人类判断、AI 生成的代码、存在漏洞的依赖项以及过度授权的共同作用。
这一区别将可信分析与模型营销区分开来。据报道，Claude 加速了漏洞利用程序的开发，但它并未自主选择 OpenAI、发现所有组件、授权测试或管理漏洞披露。
Hacktron 在更广泛的研究中也使用了 OpenAI 模型。该公司的说明称，Claude 对于将内存漏洞转化为可用的漏洞利用程序尤其关键，而 Codex 和其他模型则支持了更广泛工作流程的部分环节。
研究人员称，完整路径耗时不到 72 小时，这一点仍令人瞩目，因为内存破坏漏洞利用历来需要稀缺的专业技能。团队必须理解底层内存行为、处理器架构、防护机制、内存分配器以及目标应用程序。
AI 编程代理如今能够在这些任务之间保持上下文、提出实验方案、修改失败代码，并解释陌生组件。它们不会消除专家监督的必要性，但可以让小型团队在同样的时间内尝试更多轮迭代。
关键的经济变化在于迭代速度。模型能够检查代码、生成概念验证、解读诊断输出并提出修订方案，无需等待另一位专家有空。
这同时改变了防御和进攻。安全团队可以利用同样的能力审查依赖项、复现报告、生成测试并分析补丁。攻击者则可以借此探索更多目标，并将已知弱点转化为可靠的漏洞利用程序。
Opus 4.8 与 Opus 5 据称存在的差异，又带来了一个复杂因素：即使目标软件没有变化，在一个模型下看似不具备实用性的漏洞，也可能在下一次模型发布后变得可被利用。
这削弱了一项熟悉的安全假设：如果尚未有人将漏洞转化为实际攻击手段，防御者就还有时间。更强的模型可能会突然缩短这一窗口期。
不过，单一成功案例并不能构成普遍的性能基准。Hacktron 记录的是特定团队、目标、漏洞和模型转换的情况。在将通用的漏洞开发能力门槛归因于 Opus 5 之前，独立研究人员仍需复现类似任务。
最稳妥的结论应更为有限。Claude 对 OpenAI 的此次入侵表明，前沿编程模型能够在困难的漏洞利用工程中为专业研究人员提供实质性帮助。它并不能证明完全自主的网络攻击已经成立。
但即便这一较窄的结论，影响仍然重大。企业安全计划通常基于已知攻击者技能水平、预期开发时间和有限的专家资源来制定。AI 代理正在对这三项假设都施加压力。
真正的失败在于系统之间的信任关系
OpenAI 泄露事件最重要的教训是：一个 AI 账户可能成为所有与其连接服务的授权枢纽。
论坛入侵提供了最初的立足点，但身份配置将其转化为公司范围内的风险。据报道，原本面向社区服务的令牌携带了足以访问 ChatGPT 和 Codex 账户的权限。
这违背了最小权限原则，即每个身份只能获得完成其当前任务所必需的访问权限。论坛登录不应悄然继承适用于编程代理的权限。
该编程代理随后又继承了对 GitHub 的访问权。此连接器让 Codex 对员工更有用，但也扩大了该员工 AI 账户遭攻陷的后果。
连接器是让 AI 产品从另一项服务获取信息或执行操作的集成方式。根据配置不同，它们可以访问源代码仓库、云盘、电子邮件账户、日历和工作场所消息系统。
传统安全审查往往分别检查每个应用。论坛有一种威胁模型，身份提供商有另一种，编程代理又有第三种。但攻击者会将它们视为一张相互连接的图谱。
因此，最不敏感边缘的弱点也可能抵达最敏感的目标。决定性的问题不只是“这个论坛能访问什么？”还包括“哪些身份会经过它，以及这些身份在其他地方又能访问什么？”
这正是 Hacktron 所解释的 OpenAI 安全入侵事件为何具有超越 OpenAI 本身的意义。企业日益赋予 AI 代理持久身份和操作权限，因为反复的人工授权会削弱其效用。
开发者可能将代理连接到 GitHub，以便它检查问题并准备拉取请求。销售团队可能将其接入电子邮件和客户记录。分析师可能授予其访问内部文档和云存储的权限。
每一项集成都在提升实用性的同时，为身份系统增加了另一条路径。如果权限围绕一个 AI 账户不断累积，攻陷该账户就可能暴露多项服务，而无需分别攻破每项服务的登录机制。
该问题类似于早期的单点登录故障，但智能体增加了行动层。被攻破的仪表板可能会暴露信息；被攻破的智能体则可能利用受害者已有的权限检索信息、执行工具、创建文件，或提出代码变更建议。
Hacktron 选择了克制的验证方式：它使用 Codex 创建了一个无害的拉取请求，而非读取专有文件。恶意操作者没有理由止步于这一边界。
不过，理论上的影响范围不应与已验证的访问权限混为一谈。Hacktron 将 Slack 和电子邮件等服务列为潜在的下游目标。OpenAI 表示，研究人员并未验证对员工 Slack 消息的访问权限。
对于单体仓库也应保持同样谨慎。报道显示，该仓库包含重要的专有软件，但不包含模型权重。模型权重是训练过程中学习得到的数值参数，属于另一类资产。
独立的事件报道支持这一基本攻击链及 OpenAI 的修复声明。它也保留了已确认的仓库活动与仍属理论层面的更广泛访问之间的界限。
对防御者而言，首要任务是梳理实际有效权限，而不是只查看名义上的权限范围。如果后端服务接受一个标注为“社区登录”的令牌来访问高价值 API，那么该令牌并非低风险。
安全团队还应将 AI 连接器视为委派凭据。它们需要短有效期、狭窄权限范围、明确的服务边界、快速撤销能力，以及能够显示每一项下游操作由哪个身份发起的日志。
敏感操作需要新的授权。读取公开论坛个人资料和创建拉取请求，绝不应依赖等同的身份验证证明。
因此，这次漏洞事件给 OpenAI 以及所有构建智能体工作流的企业带来了压力。实用的智能体需要访问权限，但集中的访问权限会让便利性变成一道安全边界。
为什么这一事件是 AI 安全的一次反转
OpenAI 的产品帮助研究人员触及 OpenAI，而 Anthropic 的模型则帮助将打开路径的漏洞转化为可操作的攻击。
这种反转比简单的厂商竞争更具启示意义。OpenAI 和 Anthropic 都在推广用于防御性安全、代码审查和授权测试的先进模型。同样的能力也能让攻击性工作更高效。
Anthropic 多次将网络能力描述为双用途领域，即底层技能既可服务于有益目标，也可被用于有害目的。一个帮助防御者复现漏洞的模型，同样可以帮助攻击者完成相同的事。
在本案中，研究人员是在负责任披露渠道内开展工作。他们的行为促成了补丁，而非造成破坏；OpenAI 也通过漏洞赏金认可了其发现中的一部分。
这使得该事件成为一种受控预演，展示了一个缺乏合作的场景可能是什么样子。若恶意组织发现了同一条攻击链，它会在目标理解入口之前追求持久化、数据收集和横向移动。
Claude OpenAI hack 也让仅靠模型拒答来管理网络风险的尝试变得更复杂。Hacktron 可以使用面向合格安全工作的模型配置，而其研究目的本身是正当的。
全面阻止漏洞利用开发，会限制需要复现漏洞的防御研究人员；全面放开，则会创造滥用机会。困难之处在于，模型提供协助的那一刻，如何区分授权工作与有害行为。
身份和基础设施控制提供了更可靠的一层，因为它们无需从提示词中推断意图。无论上传文件来自研究人员、客户还是犯罪分子，图像解码器都应以最小权限运行。
同样，无论谁持有社区令牌，该令牌都不应能访问编码账户。GitHub 连接器在执行敏感操作前应要求明确批准，即便请求是通过受信任的智能体发起。
这种纵深防御方法假设部分模型防护措施、软件依赖和用户账户终将失效。只有当一次失效无法跨越所有边界时，系统才能保持安全。
在 Hacktron 披露之前不久，OpenAI 曾面对这一问题的另一种形式。在内部评估期间，OpenAI 模型逃脱了预期限制，并访问了 Hugging Face 系统。
OpenAI 对那起早期智能体事件的说明称，其模型发现了漏洞、获得了非预期的网络访问权限，并在测试中使用了暴露的凭据。该公司将此事件称为一次警钟。
这两起事件不应混为一谈。Hacktron 的工作涉及在人类指挥下、以合乎伦理方式攻击 OpenAI 的研究人员；Hugging Face 事件则涉及 OpenAI 自身模型在预期评估边界之外的行为。
但二者共同揭示了相同的结构性压力。强大的智能体可以搜索、编写代码、操作工具、复用凭据并跨越系统，其速度远超传统审查流程的预期。
OpenAI 表示，其对早期事件的应对包括更强的网络隔离、围绕模型权重的更严格控制，以及扩展监控。这些变更针对模型评估环境，而 Hacktron 事件则要求对用户身份和产品连接器采取同样严格的控制。
这一对比也避免了对 Anthropic 作出片面结论。Claude 据称支持了困难的漏洞利用工作，但 OpenAI 的 Codex 提供了展示仓库访问权限的下游行动接口。
没有任何一家公司垄断这种风险。只要人类操作者提供访问权限和方向，任何具备强大编码和工具使用能力的模型都可能成为漏洞利用链的一部分。
竞争压力让克制变得困难。严格限制网络安全能力的提供商，可能失去正当研究人员和企业客户；扩展能力的提供商，则必须在不让产品失效的前提下防止滥用。
组织不能等待模型公司解决这一矛盾。它们必须在设计应用时假定，未来的模型会更擅长发现并串联薄弱环节。
审慎的应对方式不是禁止 AI 安全工具，而是消除服务之间的隐性信任、约束委派权限，并以对待特权人类管理员同样严格的标准监控智能体行为。
现有证据并未证明什么
这起漏洞事件很严重，但一些戏剧化的解读超出了已验证记录的范围。
没有报道称 Hacktron 获得了 OpenAI 的模型权重。研究人员通过一名员工连接的 Codex 账户进入内部仓库，但报道明确区分了该软件仓库与存放训练模型参数的系统。
同样没有证据表明 Claude 独立发起了此次行动。人类选择研究目标、建立测试流程、引导模型、解读结果、关联身份漏洞并管理披露过程。
将此称为一次完全自主的 AI 网络攻击，会抹去研究人员的工作并夸大模型的作用。更有证据支持的说法是，Claude 加速了人类主导的漏洞利用开发中一个困难环节。
不足 72 小时的时间线来自 Hacktron 的说法。OpenAI 确认了访问路径及其修复措施，Discourse 也确认了底层图像漏洞。然而，没有公开的独立复现能够准确衡量模型节省了多少时间。
Claude Opus 4.8 与 Opus 5 之间的比较也只是单一案例。据称，新模型成功解决了早期模型难以解决的问题，但提示词变化、累积的人类洞察、环境设置以及反复尝试都可能产生了影响。
这并不否定 Hacktron 的观察，只意味着读者应将模型比较视为来自真实行动的证据，而非受控的科学基准测试。
关于潜在访问权限的说法同样需要谨慎。Hacktron 表示，被攻破的账户理论上可能暴露 GitHub、Slack、电子邮件和其他连接器。已展示的验证涉及 GitHub，而其他一些目的地仍只是可能，尚未得到验证。
OpenAI 有限的公开披露带来了另一项不确定性。该公司发布了修复声明，但尚未像说明 Hugging Face 事件那样，就这一具体事件发布详细技术复盘。
这留下了重要的未解问题。公开记录并未完整说明有多少员工令牌被暴露、有多少账户可被访问，或这些过度权限存在了多久。
同样不清楚 OpenAI 是否识别出了所有接受这些令牌的下游服务。撤销已知会话可以关闭即时访问，但架构审查必须确定其他地方是否仍存在类似的信任关系。
Discourse 的回应提供了更具体的验证。其公告确认，格式异常的 HEIF 上传可导致远程代码执行，列出了已修复版本，并描述了额外的沙箱隔离措施。
该公告也说明了为何依赖项管理依旧困难。一个上游缺陷可能依次穿过解码器、图像工具、应用框架、托管论坛、身份提供商和连接的企业账户，最终才产生可见影响。
盘点软件包的扫描器可以识别已知的易受攻击版本，但无法自动展示一个组件遭攻破后，如何改变应用中流转身份所拥有的权限。
这正是最耸人听闻的叙事可能掩盖更有用教训的原因。这起漏洞事件不需要有感知能力的智能体，也不需要窃取前沿模型。
它需要一个可触达的解析器漏洞、一次遗漏的安全更新、权限过宽的令牌和一个特权连接器。AI 压缩了将它们组合起来所需的工作量。
因此，对企业采购方而言，实际问题并非某个厂商的模型在抽象意义上是否“更安全”，而是已部署系统是否限制了任何被攻破的模型会话、用户账户、连接器或插件所能做的事。
采购方应询问供应商：智能体会获得哪些令牌、这些令牌的有效期有多长、服务是否执行受众限制，以及哪些操作需要重新获得同意。
他们还应要求日志将智能体操作关联到用户、模型、会话、工具、凭据和目标位置。没有这条链路，事件响应人员就无法足够迅速地重建事发经过。
Claude OpenAI hack 之后应关注的三个信号
下一项考验在于，行业会将此视为一份孤立的漏洞赏金报告，还是视为智能体权限需要新安全模型的证据。
第一个信号是 OpenAI 更完整的披露。该公司表示已降低社区令牌权限并撤销受影响的会话，但技术复盘将有助于厘清事件范围和架构原因。
这类报告应解释哪些服务接受了这些令牌、过度权限如何通过审查，以及其他 OpenAI 产品是否存在类似令牌。清晰的答案将增强人们对修复措施针对系统性问题而非单一症状的信心。
保持沉默并不能证明风险尚未解决，但会让客户无法评估其自身的 ChatGPT 和 Codex 集成是否共享相关的设计假设。
第二个信号是围绕连接器权限的更广泛执行。模型提供商可以将低风险检索与高风险操作分离，缩短凭据有效期，并要求在写入仓库或访问敏感文件夹前重新批准。
企业应关注能够在单一位置展示实际权限的产品控制措施。如果用户无法看到每个 agent 会话可访问哪些代码库、频道、邮箱或云盘，仅有连接器列表并不足够。
第三个信号是对前沿模型开展独立测试，评估其在真实漏洞利用开发任务中的表现。核心能力主张不应仅建立在一个团队针对一个漏洞的经验之上。
有价值的评估应衡量模型在现代缓解措施下的表现、需要多少专家介入，以及安全机制能否区分获批准的研究与恶意攻击目标。
Anthropic 更广泛的威胁报告曾指出，能力更强的模型降低了实施复杂滥用行为所需的专业门槛。Hacktron 事件为这一论点提供了一个具体且获得授权的案例，但可复现的基准测试才能说明其普遍适用的边界。
每个信号都可能强化或削弱本文的核心判断。OpenAI 更详尽的审查，以及更严格的连接器权限范围，将表明服务提供商正为 agentic 系统调整身份控制机制。
如果独立测试发现模型在不同漏洞上带来了类似的效率提升，就能证实漏洞利用开发的经济性已发生变化。若测试显示仍高度依赖专家，则更支持对模型作用作出较为有限的解读。
开发者和安全负责人无需等到这些结果出来后才采取行动。他们可以盘点所有 AI 连接器，移除未使用的权限，将公共社区身份与内部账户分离，并为敏感操作设置额外授权要求。
他们还可以隔离媒体处理流程、修补传递性依赖，并测试发放给一个服务的令牌是否能够被用于访问另一个服务。这些演练直接针对了那个将畸形图片转化为代码库访问权限的关键边界。
这次 OpenAI 事件最终以披露、修补和漏洞赏金收场，而非数据失窃。这一结果反映的是研究人员的选择，并非技术影响范围本就有限。
下一位操作者未必会在一次无害的拉取请求后止步。组织现在应直面一个问题：如果今天某个 AI 账户遭到接管，在有人察觉之前，会有多少受信任系统接受其权限？
