Das Team von Hacktron AI erhielt 6500 Dollar dafür, dass es die Systeme von OpenAI mit Hilfe des eigenen Konkurrenten — des Modells Claude — durchbrach. Formal sieht dies wie eine gewöhnliche Bug-Bounty-Geschichte aus: gefunden, gemeldet, Belohnung erhalten, das Unternehmen hat die Lücken geschlossen. Aber die Details zeigen etwas Interessanteres — die Grenze zwischen „Sicherheitsforscher" und „Person, die einfach weiß, wie man eine KI richtig bittet" ist fast unsichtbar geworden.
Eine Kette vom Bild zum internen Code
Der Angriff begann nicht direkt bei OpenAI, sondern bei einem Drittanbieter-Dienst namens Discourse, den das Unternehmen für sein Forum nutzt. Die Forscher erstellten ein spezielles Bild im HEIF/HEIC-Format, das eine Sicherheitslücke in der libheif-Bibliothek ausnutzte, und dies gab ihnen die Kontrolle über den Server. Dann kam eine zweite Sicherheitslücke ins Spiel, die mit dem unternehmenseigenen GitHub zusammenhängt — und das Team erhielt Zugriff auf mehrere Konten von OpenAI-Mitarbeitern auf ChatGPT und auf den internen Code des Unternehmens.
Bemerkenswert ist, dass keine dieser Lücken im eigentlichen ChatGPT-System oder in den OpenAI-Modellen vorhanden war. Die schwache Stelle erwies sich als typische Infrastruktur-Peripherie — ein Forum auf einer fremden Plattform — die praktisch jedes große Unternehmen hat und über die man selten als Einstiegspunkt für einen Angriff auf die am besten geschützten Geheimnisse der Branche nachdenkt.
Der Unterschied zwischen Misserfolg und Erfolg beträgt wenige Stunden
Der aufschlussreichste Moment der Geschichte ist nicht der Hack selbst, sondern das, was vorher geschah. Das Modell Claude Opus 4.8 konnte keinen funktionierenden Exploit für die Sicherheitslücke in libheif erstellen. Aber sobald Anthropic Opus 5 veröffentlichte, wurde die gleiche Aufgabe in wenigen Stunden gelöst.
Die Forscher weisen darauf hin, dass die Entwicklung von KI die Zeit und das spezialisierte Wissen, das für die Suche nach Cybersicherheitslücken erforderlich ist, verkürzt.
Diese Aussage sollte wörtlich verstanden werden: Der Unterschied zwischen Generationen eines einzelnen Modells im Laufe weniger Monate verwandelte eine unüberwindbare Aufgabe in eine Routineaufgabe. Früher erforderte eine ähnliche Angriffskette — vom Fuzzing des Bildformats bis zur Eskalation von Berechtigungen in einem Unternehmensnetzwerk — ein Team von erfahrenen Penetrationstestern und Wochen an Arbeit. Jetzt kann man dies in einer Zeit erhalten, die mit einer Arbeitsschicht vergleichbar ist.
Ironie vor dem Hintergrund öffentlicher Warnungen
Die Situation entfaltet sich vor dem Hintergrund, dass Anthropic selbst, der Schöpfer von Claude, vor wenigen Monaten öffentlich zur Bremsung der KI-Entwicklung aufgefordert hat, um die Risiken des Kontrollverlusts zu minimieren. Der CEO des Unternehmens, Dario Amodei, sprach von der Notwendigkeit, „das Risiko zu verringern, dass etwas schrecklich schiefgeht", und dies wurde auch von OpenAI-Chef Sam Altman unterstützt. US-Präsident Donald Trump lehnte Forderungen nach strengerer Regulierung daraufhin ab.
Unterdessen demonstriert das Werkzeug des Unternehmens, das zur Vorsicht auffordert, in Echtzeit, wie viel einfacher es geworden ist, die Infrastruktur eines technologischen Giganten zu umgehen. Dies ist kein Widerspruch im schlechten Sinne — Hacktron AI handelte legal, im Rahmen des offiziellen Bug-Bounty-Programms, und übermittelte alle Erkenntnisse an OpenAI. Aber die Tatsache allein, dass ein ähnliches Ergebnis nun für ein Team von Enthusiasten für ein paar tausend Dollar Belohnung erreichbar ist, stellt eine praktische Frage: Wenn legale Forscher diesen Weg ein paar Stunden nach der Veröffentlichung eines neuen Modells gehen konnten, wie lange wird es dann dauern, bis diejenigen, die davon nicht berichten, dasselbe tun?
