W ciągu zaledwie trzech dni badacze bezpieczeństwa pokazali, jak szybko rozwijają się możliwości współczesnych modeli AI — i jak łatwo mogą zostać użyte także do ataku. W ramach programu bug bounty OpenAI udało im się przejąć konto pracownika korzystającego z ChatGPT, a następnie uzyskać dostęp do wewnętrznego kodu firmy na GitHubie. Co istotne, nie był to klasyczny, ręcznie przeprowadzany atak, lecz demonstracja wykonana z pomocą Claude’a od Anthropic.
Cała historia zaczęła się od podatności związanej z przetwarzaniem obrazów. Zespół odkrył, że infrastruktura forum społeczności OpenAI opiera się na Discourse, a to z kolei korzysta z narzędzi sprawdzających obrazy. Problem pojawił się wtedy, gdy pliki w formatach HEIF/HEIC trafiały do kolejnego etapu przetwarzania, gdzie mogły zostać wykorzystane do uruchomienia złośliwego kodu.
To dobry przykład, jak szybko zmienia się krajobraz cyberbezpieczeństwa. Narzędzia AI coraz częściej skracają czas potrzebny na testowanie hipotez i budowanie dowodów koncepcji. Jednocześnie rośnie znaczenie odpowiedzialnego wdrażania modeli oraz kontroli nad ich użyciem.
AI jako narzędzie napastnika
Badacze początkowo próbowali zbudować exploit przy użyciu Claude Opus 4.8, ale przez dłuższy czas model nie dawał satysfakcjonujących efektów. Dopiero nowsza wersja, Claude Opus 5, okazała się przełomowa. To ona umożliwiła stworzenie działającego łańcucha ataku znacznie szybciej i skuteczniej niż wcześniejsze próby.
W praktyce badacze uruchomili agenta AI w pętli i pozwolili mu testować kolejne warianty ataku aż do uzyskania działającego rezultatu. Dzięki temu udało się przygotować lokalny exploit typu remote code execution, a następnie przenieść go na forum społeczności OpenAI. To właśnie tam przejęto konto pracownika, który miał połączony ChatGPT Codex z firmowym GitHubem.
Skąd wzięła się podatność
Opisany incydent wiązał się z biblioteką libheif, używaną do obsługi nowoczesnych formatów obrazów, takich jak .heic, .heif i .avif. Co ważne, ten sam komponent jest wykorzystywany również w wielu znanych usługach i produktach, między innymi w Slacku, Meta czy GitHub Enterprise. Oznacza to, że potencjalny zasięg problemu był znacznie szerszy niż tylko OpenAI.
Badacze najpierw analizowali, jak Discourse współpracuje z zewnętrznymi narzędziami do obróbki grafiki. Gdy okazało się, że system przechodzi do ImageMagick w celu konwersji obrazów pozbawionych wsparcia przez FastImage, pojawił się punkt zaczepienia do dalszych testów. Samo znalezienie tej ścieżki nie było jeszcze sukcesem, ale stworzyło podstawę do zbudowania exploita.
Od wykrycia luki do przejęcia repozytorium
Najbardziej uderzające w całej sprawie jest tempo. Tradycyjnie przygotowanie skutecznego exploita i doprowadzenie do realnego naruszenia bezpieczeństwa zajmuje znacznie więcej czasu. Tutaj od wykrycia podatności do uzyskania dostępu do repozytorium OpenAI minęło mniej niż 72 godziny.
Według badaczy, największa różnica wynikała z użycia nowoczesnego agenta AI. Wcześniej Claude Opus 4.8 nie radził sobie dobrze z kolejnymi iteracjami ataku, ale Opus 5 w krótkim czasie wygenerował działające rozwiązanie. Całość pokazuje, że kolejne generacje modeli potrafią bardzo szybko przyspieszać pracę nie tylko obrońców, lecz także napastników.
Co pokazuje ten incydent
Ten przypadek jest ważny nie tylko dlatego, że dotyczył OpenAI. Pokazuje on szerszy trend: agenci AI coraz częściej stają się częścią działań ofensywnych w cyberbezpieczeństwie. Jeśli można ustawić model w ciągłej pętli i pozwolić mu samodzielnie dopracowywać exploit, czas potrzebny na przygotowanie ataku dramatycznie się skraca.
W tej konkretnej sprawie badacze otrzymali od OpenAI nagrodę w wysokości 6500 dolarów, a sama luka została załatana. Nie zmienia to jednak faktu, że organizacje muszą dziś zakładać, iż napastnicy również mają dostęp do coraz potężniejszych narzędzi AI. To oznacza większą presję na testowanie systemów, szybsze łatanie podatności i zwiększoną ostrożność przy integracji usług ze sobą.
Rosnące ryzyko dla firm i użytkowników
Na końcu tej historii jest jeszcze szersza refleksja: AI przyspiesza cyberbezpieczeństwo w obie strony. Firmy używają modeli do automatyzacji, analizy i wsparcia pracy zespołów, ale ci sami modeli mogą też pomóc w przełamywaniu zabezpieczeń. Różnica polega na tym, że napastnik potrzebuje tylko jednego skutecznego scenariusza, podczas gdy obrona musi chronić się przed wieloma wariantami jednocześnie.
Eksperci zwracają też uwagę na rosnący problem zaufania do nowych, częściowo automatyzowanych rozwiązań bezpieczeństwa. Jeśli infrastruktura jest budowana tanio, szybko i niemal bez udziału ludzi, może to wyglądać atrakcyjnie biznesowo. W sytuacji kryzysowej liczy się jednak nie tylko cena, ale też odpowiedzialność, doświadczenie i zdolność do reakcji o każdej porze dnia.
Jak tak dalej pójdzie, to AI nie tylko będzie rozwijać się w kierunku pomocy ludziom, ale także w atakach. Tego typu luki pokazują, jak łatwo można wykorzystać nowe technologie do złych celów. Każda firma musi być teraz czujna, bo konkurencja i hakerzy mają dostęp do potężnych narzędzi.
Zastanawiam się, czy OpenAI naprawdę spodziewało się tak szybko wykorzystania ich produktów w atakach. Muszą postarać się lepiej zabezpieczyć te systemy. 6500 dolarów za lukę to sporo, ale całkowicie zbędne, jeżeli można to było przewidzieć.
Co za beznadziejna sytuacja! Fakt, że w 72 godziny udało się przejąć konto przez taką lukę nie napawa optymizmem. To chyba najlepszy dowód na to, że bezpieczeństwo w cyberprzestrzeni jest wciąż na kiepskim poziomie. Inwestycje w AI powinny iść w parze z solidnymi zabezpieczeniami.
Nie wiem, czy śmiać się czy płakać… AI w rękach napastników to nowy poziom zagrożenia. Kluczowe pytanie: co robią władze, aby temu zapobiec? Mamy już zbyt wiele przypadków, gdzie AI wykorzystywane jest w celach złośliwych i trzeba coś z tym zrobić.
Przesiadłem się na AI w moich projektach i widzę jak wiele może zdziałać w krótkim czasie. Ale jak widać, może też działać przeciwko. Firmy muszą być ostrożne i przemyśleć swoje zabezpieczenia, bo nikt nie jest bezpieczny.
Cóż, czuję się zaniepokojona tym, jak szybko AI może zostać użyte do przestępstwa. Dobrze, że luka została łatana, ale co z innymi? Bezpieczeństwo musi być priorytetem – niech firmy inwestują więcej w testy, zanim wydadzą coś na rynek.
Czy to nie jest przypadkiem sygnał, że powinniśmy mieć bardziej restrykcyjne podejście do bezpieczeństwa w AI? Każde nowe rozwiązanie wiąże się z ryzykiem, a z doświadczenia zauważyłem, że wiele firm ignoruje te kwestie. Pora, aby to się zmieniło.