一場頗具諷刺意味的安全事件正在引發關注：研究人員藉助Anthropic最新的Claude Opus 5，將一個圖像處理漏洞逐步擴展為完整攻擊鏈，最終獲取了一名OpenAI員工的ChatGPT賬戶訪問權限，並進一步觸及OpenAI內部GitHub環境。這意味着，AI正在讓網絡安全攻防驟然升溫，高級漏洞利用的門檻和成本正被快速壓低。

安全初創公司Hacktron AI的研究人員本周披露了上述行動。據《華爾街日報》近日報道，該團隊獲得了一名OpenAI員工ChatGPT賬戶的訪問權限，並具備讀取和提交OpenAI私有軟件變更的能力。Hacktron表示，研究人員於7月25日通過OpenAI的Bugcrowd漏洞賞金計劃完成披露，OpenAI當天確認已修復其側的漏洞，並向研究團隊支付了6500美元賞金。

此次事件的關鍵並不只是一個漏洞被攻破，而是多個安全邊界被依次串聯起來：第三方基礎設施中的漏洞、聯合身份認證缺陷，以及與企業內部系統深度連接的AI代理賬戶。對於正在大規模部署AI代理的企業而言，這種攻擊路徑意味着，原本分散的安全風險可能被AI賬戶串聯成一條完整的權限鏈。

攻擊鏈全貌：從圖像上傳到內部代碼庫

此次攻擊的初始入口是OpenAI社區論壇community.openai.com，該論壇基於Discourse平台運行。

Hacktron發現，上傳至Discourse的HEIC和HEIF圖像會經過ImageMagick處理，並由libheif解碼。研究人員指出，相關環境中的libheif版本存在堆緩衝區溢出漏洞，可被開發為遠程代碼執行（RCE）漏洞。Discourse隨後確認該漏洞，並於7月28日發布安全公告，將其CVSS評分定為8.8，同時完成補丁修復並加強圖像處理沙箱。

但論壇服務器被攻破只是第一步。Hacktron隨後發現OpenAI單點登入（SSO）實現中的另一處缺陷，使研究人員能夠將論壇環境的控制權進一步轉化為對ChatGPT和Codex賬戶的訪問權限，其中包括OpenAI員工賬戶。研究人員強調，這一權限提升並非Discourse漏洞，而是OpenAI身份認證層面的獨立問題。

進入員工Codex賬戶後，研究人員發現該賬戶已連接至OpenAI的GitHub組織，並指令Codex在OpenAI內部monorepo（openai/openai）中創建一個無害的pull request，以證明賬戶入侵能夠進一步延伸至開發者基礎設施，同時避免讀取敏感源代碼。

Claude Opus 5將漏洞利用壓縮至72小時內

此次事件另一個值得關注的地方，是AI模型直接參與了漏洞利用程序的開發。

Hacktron表示，研究人員最初使用Claude Opus 4.8分析存在漏洞的libheif並嘗試開發利用程序，但在地址空間佈局隨機化（ASLR）開啓的情況下難以穩定復現。Anthropic於7月24日發布Claude Opus 5，並將其定位為在長時運行代理和編程任務方面的重要升級。

切換至Opus 5後，模型在數小時內生成了可用的ARM64漏洞利用程序，隨後又將其適配至Discourse所使用的x86-64及jemalloc環境。Hacktron稱，從發現漏洞到獲得OpenAI代碼庫訪問權限，整個過程耗時不足72小時。

這一案例顯示，AI代理正在壓縮高級漏洞利用的時間成本。過去，內存損壞漏洞從發現到形成穩定利用程序通常需要大量逆向分析、調試和開發工作，而前沿編程模型已經能夠在人工指導下承擔其中相當一部分工作。

AI代理賬戶成為新的權限樞紐

相比單個漏洞，此次事件對企業安全架構更深層的影響，可能來自AI代理賬戶所處的位置。

Hacktron指出，受影響的ChatGPT或Codex賬戶可能連接GitHub、Slack、Outlook、Gmail及Google Drive等多個服務。一旦AI賬戶遭到入侵，攻擊者可能進一步繼承與其關聯的下游系統權限。AI賬戶由此從單一應用憑證，變成連接代碼、通信和企業數據的身份與授權樞紐。

Hacktron還將此次OpenAI事件列為更大範圍「HEIF Heist」研究的一部分，並稱同一路線還延伸至Slack、Meta、Zoom、Shopify、GitHub Enterprise等平台。不過，目前公開披露的技術細節和廠商確認信息主要集中在OpenAI案例。

對於企業安全團隊而言，這一事件提示了幾項防護重點：隔離不可信文件處理管道，及時修補底層依賴漏洞，收緊聯合身份認證的信任範圍，並按照接近特權賬戶的標準管理AI代理的憑證與權限。隨着AI代理進一步接入企業內部系統，一個AI賬戶失守的影響可能沿着其連接的權限鏈向下遊擴散。