Hacktron用Claude 72小时攻入OpenAI代码库,Worldcoin (WLD)受关注

72小时打进OpenAI代码库

安全初创公司Hacktron于周六披露,其三人团队——Harsh Jaiswal、Mohan Pedhapati和Rahul Maini——借助Anthropic的Claude,在不到72小时内进入了OpenAI员工的账户和公司内部代码仓库。团队在一份技术报告中完整记录了整条攻击链。这件事之所以值得加密市场关注,是因为Worldcoin (WLD)——由OpenAI首席执行官Sam Altman联合创立的身份项目——长期被交易员当作“OpenAI周边情绪”的代理标的:凡是关于这家AI巨头安全状况的新闻,几乎会第一时间传导到现货交易层面。整个入侵从7月23日启动,入口是community.openai.com——一个由Discourse驱动的论坛,用户可在此上传图片。上传的HEIC和HEIF文件会被交给ImageMagick处理,而ImageMagick依赖libheif解码器,后者恰恰存在一个堆缓冲区溢出漏洞:这是一种内存破坏类缺陷,攻击者可以越过已分配的缓冲区边界写入数据,从而植入指令。值得注意的是,该漏洞上游早在约一年前就已修复,但那次修复并未被标记为安全更新,也没有获得CVE编号。Hacktron认为,正是这个疏漏导致Debian 12和Debian 13都随系统分发了带漏洞的解码库——Debian 13直到8月8日才收到已修复版本。研究人员进一步指出,过时解码器叠加一处配置失当的单点登录(SSO)体系——一套登录机制管控着所有接入服务——使他们得以进入多名员工的ChatGPT与Codex账户。但团队在“数据外泄”这一步划下了红线:没有读取任何源码,一旦证明可以取得访问权限,行动即告终止。按Hacktron的说法,任何SSO关联服务上的一个失陷账户都可能在整个组织内级联扩散,而过去需要数月专业人工才能完成的漏洞利用代码,如今在AI辅助下被压缩到几天之内。盯Worldcoin生态的交易员在报告发布后数小时内就注意到了这条消息。

整个行动的成败关键,在于执行漏洞工程的是哪一个模型。7月24日,Claude Opus 4.8只有在团队关闭ASLR——即地址空间随机化这一破坏利用路径的内存防御机制——之后,才产出可用的攻击代码;在默认防护开启时,它反复失败。当天晚间,Anthropic发布了Opus 5,新一轮会话在约三小时内就针对Discourse环境生成了稳定可复现的漏洞利用。期间模型一度拒绝编写远程主机利用代码,研究人员的绕过方式是把自己的测试服务器包装成CTF竞赛式的靶场。到7月25日上午,团队确认实现了远程代码执行——无需接触任何设备即可在OpenAI服务器上运行任意命令——并拿到了生产环境论坛的管理员权限,随后提交报告。当天下午,他们接管了一个员工账户,该账户的Codex代理接入了OpenAI的GitHub组织,团队随即在内部openai/openai仓库上以pull request #1186742作为证据,之后立刻停手。OpenAI在收到报告后约14小时内修补了认证缺陷,并支付了6,500美元赏金,同时说明该Discourse托管论坛不在其漏洞赏金范围之内,因此赏金只覆盖OpenAI侧的发现。Hacktron则反驳称,配置失当的SSO才是系统性故障——任何共享同一登录机制的服务都存在完全相同的入侵路径。Discourse本体的反应也很快:周六收到通知,周日回复,周一补丁就绪,并着手隔离ImageMagick处理流程,同时发布了安全公告GHSA-vhm9-85gw-x335。这次入侵还只是更大范围“HEIF Heist”行动的一站:团队用不到3,000美元的AI成本,对Slack、Meta、GitHub Enterprise、Ruby on Rails和Next.js进行了约两个月的测试,提交了数以千计可触发崩溃的图片,但只有Shopify注意到了异常。

Altman生态风险成为WLD关注点

对Worldcoin持币者而言,最具分量的记录是Discourse自己发布的安全公告,其中载明了已修补的图像处理管线,并确认了厂商响应时间线。我们的判断是:这件事的看点不在某个单点漏洞,而在漏洞利用的经济账——不到3,000美元的AI账单,换来了组织级别的访问权限。结合此前已在市场上的多条OpenAI相关消息——OpenAI 1.2万亿美元估值的谈判、六起对齐失误案例,以及2,780亿美元的现金消耗预测——我们把任何新的OpenAI运营冲击都视作更广泛的山寨币市场的情绪输入,而不是给追逐热点的AI交易机器人提供FOMO燃料。历史经验显示,OpenAI相关的头条往往会通过Altman叙事放大WLD的波动,这一点在事件发酵期尤其需要警惕。