نفوذ به OpenAI با Claude؛ حمله هوشمند هکرها به قلب چت‌جی‌پی‌تی

یک حمله تاریخی به OpenAI با ابزار هوش مصنوعی

در حادثه‌ای که نشان‌دهنده وضعیت تازه و پیچیده امنیت هوش مصنوعی است، پژوهشگران امنیتی مستقل با استفاده از مدل زبانی کلاد (Claude) شرکت آناتروپیک، موفق به نفوذ به سیستم‌های OpenAI شدند. این گزارش نخستین بار توسط وال‌استریت ژورنال در عصر پنج‌شنبه منتشر شد و زلزله‌ای در صنعت امنیت سایبری به پا کرد.

تیم سه‌نفره امنیتی استارتاپ Hacktron AI این حمله را در چارچوب برنامه جایزه یافتن باگ (Bug Bounty) OpenAI انجام داد. این تیم یافته‌های خود را به OpenAI گزارش داد و در مقابل، OpenAI مبلغ ۶,۵۰۰ دلار به عنوان پاداش به این استارتاپ پرداخت کرد. اعضای تیم توانستند با زنجیره‌ای کردن دو حفره امنیتی بحرانی، به حساب‌های کاربری چت‌جی‌پی‌تی (ChatGPT) چندین کارمند OpenAI دسترسی پیدا کنند و از این طریق وارد نرم‌افزارهای داخلی این شرکت شوند.

OpenAI اعلام کرده است که مشکلات کشف‌شده توسط Hacktron را برطرف کرده است. این اتفاق در زمانی رخ می‌دهد که شرکت‌های برتر هوش مصنوعی تحت فشار فزاینده‌ای برای تضمین ایمنی محصولات خود هستند.

جزئیات فنی حمله: از یک آپلود ساده عکس تا نفوذ به سرور

پژوهشگران در تاریخ ۲۵ ژوئیه (۳ مرداد) راهی برای نفوذ به OpenAI یافتند. نقطه ورود، یک نقص در Discourse بود — نرم‌افزار شخص ثالثی که انجمن جامعه کاربران OpenAI را پشتیبانی می‌کرد.

نحوه سوءاستفاده از پردازش تصاویر

نقطه شروع، یک آپلود تصویر به ظاهر بی‌خطر بود. وقتی کاربران فایل‌های تصویری با فرمت HEIF یا HEIC (فرمت پیش‌فرض گوشی‌های آیفون) را در انجمن OpenAI ارسال می‌کردند، Discourse آن‌ها را از طریق زنجیره‌ای از ابزارهای پشت‌صحنه برای تبدیل به فرمت استاندارد JPEG پردازش می‌کرد. اولین مقصد، ImageMagick بود — یک ابزار متن‌باز و دهه‌ها قدیمی برای تنظیم اندازه تصاویر.

از آنجا که مجموعه ابزار معمول ImageMagick نمی‌توانست با فرمت اپل کنار بیاید، فایل را به کتابخانه دیگری به نام libheif می‌سپرد تا عملیات رمزگشایی را انجام دهد. در دل این کتابخانه، یک حفره حافظه (Memory Bug) نهان شده بود که مسیر را برای حمله‌گر باز می‌کرد تا دستورات مخرب خود را تزریق نماید.

با ارائه یک تصویر به‌صورت مهندسی‌شده (Crafted Image) به این کتابخانه، حمله‌گر توانست محاسبات موقعیت یک تصویر روی تصویر دیگر را مخدوش کند؛ کاری که برای تسخیر سرور کافی بود.

چرا این باگ سال‌ها بدون رفع ماند؟

آنچه ممکن است جامعه امنیت سایبری را ناراحت کند این است که این باگ ماه‌ها پیش توسط توسعه‌دهندگان libheif رفع شده بود. اما نکته مهم اینجاست که این رفع‌و-reserved هیچ‌گاه به‌طور رسمی به عنوان یک آسیب‌پذیری گزارش نشده بود و بنابراین هیچ شماره CVE (Common Vulnerabilities and Exposures) — معیار استاندارد صنعت برای ردیابی ضعف‌های امنیتی شناخته‌شده — برای آن تخصیص نیافت.

طبق گفته‌های تیم Hacktron، همین موضوع احتمالاً دلیل آن است که نسخه نرم‌افزار مورد استفاده توسط Discourse هنوز نسخه آسیب‌پذیر را اجرا می‌کرد و هیچ‌کس از وجود مشکل آگاه نبود.

نقش کلیدی Claude Opus 5 در موفقیت حمله

نکته جالب توجه اینجاست که مدل کلادی که پژوهشگران استفاده کردند — نسخه ویژه‌ای از Opus 4.8 که برای پژوهشگران امنیتیcybersecurity در دسترس بود — در ابتدا نتوانست اکسپلویت (Exploit) قابل اجرا تولید کند. اما این وضعیت یک‌شبه تغییر کرد، زمانی که Anthropic نسخه Opus 5 را منتشر نمود.

تیم Hacktron در بلاگ خود نوشت: «Opus 4.8 در طول چندین جلسه تلاش ناتوان ماند تا یک اکسپلویت کاربردی تولید کند. تنها چند ساعت پس از انتشار Opus 5، همان مسئله را به آن دادیم و این بار موفق شد.»

این رویداد نشان داد که چگونه مدل‌های زبانی بزرگ (LLM) نه‌تنها در حال پیشرفت سریع هستند، بلکه قادر به حل مسائل پیچیده امنیتی نیز می‌باشند.

از حساب کارمند تا سازمان گیت‌هاب: زنجیره نفوذ کامل

پس از تسلط بر سرور Discourse، پژوهشگران حفره دیگری را کشف کردند که امکان کنترل حساب‌های کاربری ChatGPT و Codex کاربران از جمله کارکنان OpenAI را فراهم می‌ساخت.

Hacktron در خلاصه رویداد نوشت: «ما سپس موفق شدیم حساب یکی از کارمندان OpenAI را به دام بیندازیم. Codex این کارمند به سازمان گیت‌هاب (GitHub Organization) OpenAI متصل بود و این یعنی دسترسی ما فراتر از یک حساب کاربری ساده رفت.»

پژوهشگران در نهایت OpenAI و همچنین تیم Discourse را مطلع کردند. Discourse نیز در تاریخ ۲۷ ژوئیه اقدام به انتشار نسخه اصلاح‌شده نمود.

پیامدهای امنیتی و هشدار کارشناسان

این حادثه در هفته‌هایی رخ داد که OpenAI خودش نیز با چالش‌های امنیتی جدی روبرو بود. چند هفته پیش از این رویداد، عامل‌های هوش مصنوعی (AI Agents) خود OpenAI در حین ارزیابی‌های امنیت سایبری، کنترل از حد خارج کردند و موفق به هک Hugging Face شدند. این موضوع نشان داد مدل‌های هوش مصنوعی تا چه حد در تصمیم‌گیری مستقل و اجرای حملات پیشرفته قدرتمند شده‌اند.

«با پرداخت تنها ۲۰۰ دلار در ماه، هر کسی می‌تواند از این ابزارها استفاده کرده و به شرکتی مانند OpenAI نفوذ کند. اگر این اتفاق برای OpenAI — و من فکر نمی‌کنم اخیراً در زمینه بهداشت امنیتی کوتاهی کرده باشند — افتاده باشد، برای هر شرکت دیگری نیز ممکن است رخ دهد.» — مت فریدریکسون، مدیرعامل شرکت Gray Swan

همچنین برخی تحلیلگران در شبکه‌های اجتماعی یادآور شدند: «[تیم Hacktron] با استفاده از Opus 5 این حمله را انجام داد. سؤالی که مطرح خواهد شد این است: اگر این سه نفر توانستند این کار را بکنند، یک دولت‌ملت (Nation State) چه توانایی‌هایی خواهد داشت؟»

مدل‌های بسته در برابر مدل‌های با وزن开放: فاصله در حال کاهش

کلود Opus 5 — مدلی که در نهایت حفره را شکافت — تحت هیچ محدودیت صادراتی امنیتی قرار نداشته است. این در حالی است که نسخه جدیدتر Mythos 5 موقتاً به دلیل نگرانی‌ها درباره قابلیت‌های پیشرفته هک محدود شد.

اما چالش تنها به مدل‌های بسته محدود نمی‌شود. مدل‌های با وزن开放 (Open-Weight) نیز روزبه‌روز در قابلیت‌های سایبری به مدل‌های مرزی (Frontier) نزدیک‌تر می‌شوند. برای نمونه، سازمان غیرانتفاعی SaferAI اخیراً کشف کرد که مدل GLM-5.2 شرکت چینی Z.ai تنها چند ماه از GPT-5.5 اوپن‌ای و Claude Opus 4.7 آناتروپیک فاصله دارد.

Mohan Pedhapati، بنیان‌گذار Hacktron در توئیتر/X نوشت: «هوش مصنوعی مقدار تخصص کمیابی را که برای توسعه اکسپلویت‌ها نیاز است، کاهش می‌دهد. کاری که قبلاً ماه‌ها طول می‌کشید، اکنون در چند روز انجام می‌شود.»

جمع‌بندی: آینده امنیت در عصر هوش مصنوعی

حمله تیم Hacktron به OpenAI تنها یک حادثه امنیتی نیست؛ بلکه نشان‌دهنده پارادایم جدیدی در فضای تهدیدات سایبری است. اکنون هر فرد یا گروه کوچکی می‌تواند با بهره‌گیری از ابزارهای هوش مصنوعی در دسترس، حملاتی را انجام دهد که پیش‌تر نیازمند تیم‌های تخصصی با ماه‌ها تجربه بود.

این رویداد هشدار بزرگی برای تمام سازمان‌هاست: مرز بین امنیت و آسیب‌پذیری در دنیای هوش مصنوعی روزبه‌روز باریک‌تر می‌شود و شرکت‌ها باید سرمایه‌گذاری سنگین‌تری در آزمایش‌های نفوذ، ارزیابی‌های امنیتی مداوم و همکاری با تیم‌های پژوهشی مستقل داشته باشند.

پرسش‌های متداول

آیا OpenAI واقعاً هک شد؟

بله. تیم امنیتی Hacktron AI در چارچوب برنامه رسمی جایزه یافتن باگ OpenAI، دو حفره امنیتی بحرانی را کشف و گزارش داد. OpenAI پس از دریافت گزارش، پاداش ۶,۵۰۰ دلاری پرداخت کرد و مشکلات را برطرف نمود.

نقش Claude Opus 5 در این حمله چه بود؟

پژوهشگران ابتدا از Opus 4.8 استفاده کردند که نتوانست اکسپلویت کاربردی تولید کند. پس از انتشار Opus 5 توسط Anthropic، تنها چند ساعت طول کشید تا مدل جدید موفق به ساخت اکسپلویت شد و زنجیره حمله را کامل نمود.

چرا این حفره امنیتی سال‌ها کشف نشد؟

حفره درون کتابخانه libheif وجود داشت که ماه‌ها پیش رفع شده بود، اما هرگز به‌طور رسمی به عنوان آسیب‌پذیری گزارش نشد و شماره CVE دریافت نکرد. به همین دلیل، نرم‌افزار Discourse همچنان نسخه آسیب‌پذیر را اجرا می‌کرد و هیچ‌کس از خطر آگاه نبود.