Vulnerabilità nei sistemi OpenAI: come i ricercatori hanno sfruttato Claude di Anthropic

Un recente episodio ha messo in luce le vulnerabilità nei sistemi di OpenAI, quando un team di tre ricercatori di Hacktron AI ha utilizzato il modello Claude (Opus 5) di Anthropic per accedere a diversi account ChatGPT di dipendenti OpenAI e a parti della loro infrastruttura. Questo attacco è avvenuto nell’ambito di un programma di bug bounty, dove i ricercatori hanno segnalato le falle riscontrate e hanno ricevuto un premio di 6.500 dollari per il loro lavoro. OpenAI ha prontamente risolto i problemi identificati.

Il primo accesso è avvenuto il 25 luglio attraverso una vulnerabilità nel software del forum della comunità basato su Discourse, specificamente legata all’upload di file immagine nei formati HEIF/HEIC. Discourse, nel processo di conversione di questi file, utilizzava ImageMagick e la libreria libheif. Un bug di memoria in libheif ha causato un calcolo errato della posizione di un’immagine sovrapposta, compromettendo così il server. Sebbene il difetto fosse stato corretto dagli sviluppatori di libheif mesi prima, la correzione non era stata formalmente segnalata con un CVE, e la versione vulnerabile era ancora in uso nel sistema.

I ricercatori hanno notato che il modello Opus 4.8 di Claude aveva difficoltà a generare un exploit funzionante, mentre, entro poche ore dal rilascio di Opus 5, il modello è riuscito a produrre un exploit efficace. Una volta ottenuto l’accesso al server Discourse, hanno scoperto una seconda vulnerabilità che ha permesso loro di controllare gli account ChatGPT e Codex, incluso quello di un dipendente OpenAI il cui Codex era collegato all’organizzazione GitHub dell’azienda. Discourse ha rilasciato una patch per la vulnerabilità il 27 luglio.

Questo episodio solleva interrogativi significativi sulla sicurezza informatica, in particolare sull’uso di modelli avanzati e strumenti commerciali. Matt Fredrikson, CEO della società di sicurezza Gray Swan, ha commentato che “per $200 al mese, chiunque può usare questi strumenti e hackerare una società come OpenAI”. Mohan Pedhapati, fondatore di Hacktron, ha aggiunto che “l’IA sta riducendo la quantità di competenze scarse necessarie per sviluppare exploit. Lavoro che prima richiedeva mesi ora può richiederne giorni”.

È importante notare che il modello Opus 5 non ha subito le restrizioni di esportazione che hanno colpito versioni successive come Mythos 5, che è stata temporaneamente limitata a causa di preoccupazioni sulle sue capacità di hacking. Anche i modelli a pesi aperti stanno contribuendo a ridurre il divario di capacità: ricerche di SaferAI indicano che il modello GLM-5.2 di Z.ai è a pochi mesi di distanza rispetto a GPT-5.5 e Claude Opus 4.7. Questo incidente si verifica in un contesto di crescente attenzione alla sicurezza nelle aziende che sviluppano intelligenza artificiale, evidenziando la necessità di misure di protezione più robuste.