@FinanceYF5: 1/ On July 25, 2026, the Hacktron AI team breached OpenAI in less than 72 hours. They exploited 2 vulnerabilities to ta…

1/ On July 25, 2026, the Hacktron AI team breached OpenAI in less than 72 hours.

They exploited 2 vulnerabilities to take over ChatGPT and Codex accounts belonging to some OpenAI employees and external users, and gained access to associated services like Outlook, Slack, and GitHub.

They also submitted a PR to OpenAI’s internal code repository, proving the attack’s success.

Full process👇

2/ 完整攻击链如下：

上传 HEIC/HEIF 图片 → ImageMagick 解码 → 触发 libheif 堆溢出 → 在 OpenAI 论坛实现 RCE → 利用 OpenAI SSO 漏洞 → 接管 ChatGPT、Codex 账户 → 访问关联的 GitHub → 向内部代码库提交 PR。

3/ 第一个漏洞来自图像处理库 libheif。

这个漏洞此前已经被上游修复，但没有被标记为安全问题，因此仍然存在于 Discourse 使用的版本中。

他们只需上传一个恶意 HEIF 文件，就能在 OpenAI 论坛 https://community.openai.com 上实现 RCE

4/ 第二个漏洞更加严重：OpenAI 的 SSO 存在关键问题。

他们利用这个漏洞，将 Discourse 论坛中的 RCE 进一步扩展到了 OpenAI 的其他服务。

5/ 任何曾经登录过该论坛的用户，都可能受到影响。

他们因此获得了部分 OpenAI 员工和外部用户的 ChatGPT、Codex 账户访问权限，还能继续进入与账户连接的其他服务。

6/ 为了证明漏洞影响，同时尽量减少数据暴露，他们只使用了一个关联 OpenAI GitHub 组织的员工账户。

Codex 在没有读取敏感代码的情况下，向 OpenAI 内部 Monorepo 创建了一个无害 PR。

这证明他们获得的访问权限是真实的。

7/ 他们分别向 Discourse 和 OpenAI 提交了漏洞报告。

OpenAI 在首次提交约 14 小时后修复了 SSO 问题。

Discourse 周六收到报告，周日回复，周一完成修复。

OpenAI 最终支付了 6500 美元漏洞奖金。

8/ AI Agent 完成了漏洞利用过程中的重要工作。

Opus 4.8 找到了 libheif 漏洞，并构建出部分利用代码。

Opus 5 发布几小时后，又将利用代码适配到 Discourse，成功在测试实例上实现 RCE。

9/ 他们得出的最大结论是：

AI 正在降低漏洞利用开发对稀缺安全专家经验的依赖。

过去需要几个月完成的工作，现在可能只需要几天。即使是领先的 AI 公司，也可能存在可被利用的漏洞。

10/ 防御方需要重新检查系统架构、更快安装补丁，并限制不同服务连接后可能产生的攻击范围。

这项研究由 Harsh Jaiswal 牵头，s1r1us 和 iamnoooob 共同参与。

完整技术细节：

11/ 他们还特别说明，自己并不是临时参与安全研究的普通用户。

此前，他们已经与 Perplexity、Vercel 等公司合作，并公开过多项安全研究成果。

12/ LiveOverflow 也制作了一期相关视频：

视频分析了他们如何利用一张恶意 HEIF 图片，完成这条针对 OpenAI 的攻击链。

13/ 在完成 OpenAI 的漏洞披露后，他们继续检查其他使用相同图像解析器的产品。

结果发现，这个漏洞还影响 Slack、Meta、GitHub Enterprise、Rails、Next.js、ImageMagick 等大量应用。

14/ 多家 AI 公司都在使用 Slack。

如果 Slack 遭到成功利用，攻击者理论上可能获取用户上传的私人图片和其他文件。

一个不起眼的底层图像库，可能同时成为大量应用的共同安全弱点。

Read the original: