@FinanceYF5: 1/ 2026年7月25日，Hacktron AI团队在不到72小时内入侵了OpenAI。他们利用了2个漏洞来…

1/ 2026年7月25日，Hacktron AI团队在不到72小时内成功入侵OpenAI。

他们利用了两个漏洞接管了部分OpenAI员工及外部用户的ChatGPT和Codex账户，并获取了关联的Outlook、Slack和GitHub等服务的访问权限。

他们还向OpenAI内部代码库提交了PR，证明攻击已成功实施。

完整过程👇

2/ 完整攻击链如下：

上传HEIC/HEIF图片 → ImageMagick解码 → 触发libheif堆溢出 → 在OpenAI论坛实现RCE → 利用OpenAI SSO漏洞 → 接管ChatGPT、Codex账户 → 访问关联的GitHub → 向内部代码库提交PR。

3/ 第一个漏洞来自图像处理库libheif。

该漏洞此前已被上游修复，但未被标记为安全问题，因此仍然存在于Discourse使用的版本中。

他们只需上传一个恶意HEIF文件，即可在OpenAI论坛 https://community.openai.com 上实现远程代码执行（RCE）。

4/ 第二个漏洞更为严重：OpenAI的SSO存在关键安全问题。

他们利用此漏洞，将Discourse论坛中的RCE进一步扩散到OpenAI的其他服务。

5/ 任何曾登录过该论坛的用户都可能受到影响。

因此他们获得了部分OpenAI员工和外部用户的ChatGPT、Codex账户访问权限，并能进一步访问与这些账户关联的其他服务。

6/ 为验证漏洞影响并尽量减少数据暴露，他们仅使用了一个与OpenAI GitHub组织关联的员工账户。

Codex在未读取敏感代码的情况下，向OpenAI内部Monorepo创建了一个无害的PR。

这证明他们获得的访问权限真实有效。

7/ 他们分别向Discourse和OpenAI提交了漏洞报告。

OpenAI在首次提交约14小时后修复了SSO问题。

Discourse于周六收到报告，周日回复，周一完成修复。

OpenAI最终支付了6500美元漏洞奖金。

8/ AI智能体在漏洞利用过程中发挥了重要作用。

Opus 4.8发现了libheif漏洞，并构建了部分利用代码。

Opus 5发布数小时后，他们又将利用代码适配到Discourse，成功在测试实例上实现RCE。

9/ 他们得出的核心结论是：

AI正在降低漏洞利用开发对稀缺安全专家经验的依赖。

过去需要数月完成的工作，现在可能仅需数天。即使是领先的AI公司，也可能存在可被利用的漏洞。

10/ 防御方需要重新审视系统架构、加快补丁部署速度，并限制不同服务互联可能带来的攻击范围。

该研究由Harsh Jaiswal牵头，s1r1us和iamnoooob共同参与。

完整技术细节：

11/ 他们特别说明，自己并非临时参与安全研究的普通用户。

此前已与Perplexity、Vercel等公司展开合作，并公开过多项安全研究成果。

12/ LiveOverflow也制作了相关视频：

视频分析了他们如何利用一张恶意HEIF图片构建针对OpenAI的完整攻击链。

13/ 完成OpenAI漏洞披露后，他们继续检查其他使用相同图像解析器的产品。

结果发现该漏洞同样影响Slack、Meta、GitHub Enterprise、Rails、Next.js、ImageMagick等大量应用。

14/ 多家AI公司都在使用Slack。

若Slack被成功利用，攻击者理论上可能获取用户上传的私密图片及其他文件。

一个看似不起眼的底层图像库，可能同时成为众多应用的共同安全弱点。