Totul s-a întâmplat prea repede și prea ușor

Totul a pornit de la un detaliu aparent minor, așa cum se întâmplă adesea în cazul incidentelor de securitate. Echipa de la Hacktron, formată din cercetătorii Harsh Jaiswal, Mohan Pedhapati și Rahul Maini, a examinat sistemul de încărcare a imaginilor al forumului comunitar OpenAI (Discourse) și a descoperit că fișierele HEIC și HEIF (tipuri de fișiere foto, folosite în mod obișnuit de iPhone-uri), treceau nesupravegheate printr-un program mai vechi de procesare a imaginilor, care avea o eroare nepatch-uită și nu recunoștea aceste formate.  Practic, o poză aparent nevinovată putea fi transformată într-un fel de cal troian: în loc să fie doar afișată, declanșa execuția unui cod ascuns pe serverul care o procesa.

Cercetătorii au cerut ajutorul lui Claude pentru a transforma această slăbiciune teoretică într-un atac funcțional. Prima încercare a fost făcută cu o versiune specială a Claude Opus 4.8, dar demersul a eșuat. Interesant e și momentul în care s-a produs descoperirea propriu-zisă. Chiar în acea seară, Anthropic a lansat Claude Opus 5, iar a doua zi noul model a reușit ce predecesorul său nu putuse. O coincidență aproape ironică, dar și un indiciu clar despre cât de repede evoluează aceste capacități de la o versiune la alta.

De acolo, lucrurile s-au derulat rapid. Folosind codul obținut, echipa a accesat serverele forumului Discourse și a obținut jetoane de autentificare, un fel de „legitimații" digitale temporare, dovezi că cineva e deja autentificat, folosite ca să fie evitată introducerea parolei din nou, de fiecare dată. Surpriza a fost că unele aparțineau chiar angajaților OpenAI și erau valabile, funcționând pentru ChatGPT, și pentru contul de GitHub al companiei, unde se păstrează codul sursă intern, inclusiv depozitul numit „Monorepo", arhiva centrală în care OpenAI își ține software-ul propriu (nu și ponderile modelelor).

În loc să scotocească prin acest cod sensibil, cercetătorii s-au oprit la un gest simbolic: au făcut o mică modificare de test în depozitul intern al OpenAI, doar ca să demonstreze, fără ambiguitate, că accesul era real, cam ca un spărgător care lasă un bilet pe birou în loc să fure ceva.

E grav?

E vorba de un eveniment excepțional sau doar de o curiozitate amuzantă, genul "AI-ul unei companii a spart AI-ul alteia"? Răspunsul e undeva la mijloc, dar mai aproape de "important" decât de "amuzant".

Pe de o parte, nimic din poveste nu a produs pagube reale. Descoperirea a fost raportată prin programul de bug bounty al OpenAI, iar compania a plătit către Hacktron o recompensă de 6.500 de dolari. OpenAI a declarat că a restrâns permisiunile jetoanelor de autentificare de pe forum și a revocat jetoanele și sesiunile afectate — exact mecanismul prin care ar trebui să funcționeze securitatea responsabilă. Nu a fost un atac răuvoitor, ci un test inofensiv care și-a atins scopul fără să facă rău.

Pe de altă parte, ceea ce face incidentul relevant nu e "un Claude a atacat un ChatGPT", la fel de bine ar fi putut fi orice altă țintă, ci viteza și accesibilitatea lui. O breșă care ar fi cerut, până de curând, o echipă specializată, timp îndelungat și expertiză tehnică rară a fost dusă la capăt în câteva zile de trei oameni, cu ajutorul unui model AI disponibil oricui contra unui abonament lunar. Pragul de intrare în acest tip de operațiune tocmai s-a prăbușit, iar o companie de nivelul OpenAI, cu resurse de securitate considerabile, a fost vulnerabilă la atac.

Nu e un caz izolat. E, de fapt, al treilea sau al patrulea episod de acest gen din vara și toamna asta. În iulie, un agent al OpenAI a ieșit singur dintr-un mediu de testare și a furat rezolvările unui test de securitate direct de pe Hugging Face, în loc să rezolve exercițiile pentru care fusese evaluat. La scurt timp după, un raport britanic a arătat că un agent Anthropic a creat identități false ca să convingă un dezvoltator să accepte cod periculos într-un proiect open-source. Iar în august, Anthropic însuși a documentat cum trei instanțe ale propriului model, puse să lucreze pe același proiect fără să știe una de alta, au ajuns să se saboteze reciproc și să facă înțelegeri secrete de preț. Tot Anthropic a publicat recent propriul raport de amenințări cibernetice (prezentat de Aidapted: AI de frontieră: toți cer pauză, nimeni nu frânează primul) în care recunoaște că cele mai noi modele ale sale pot oferi deja asistență semnificativă în domenii periculoase, de la arme biologice până la construcția unor drone autonome.

„Suntem doar trei tipi cu abonamente la Claude și Codex”

Rămâne, totuși, remarca directorului tehnic al Hacktron, care spune poate cel mai mult din toată povestea: „Suntem doar trei tipi cu abonamente la Claude și Codex." Nu e o glumă, ci o observație despre cât de mult s-a schimbat economia atacurilor cibernetice. Până acum câțiva ani, un lanț de exploatare care pornea de la o eroare într-un forum și ajungea la codul sursă privat al unui gigant tehnologic era genul de operațiune asociată serviciilor de informații sau grupurilor de criminalitate cibernetică sponsorizate de state, cu echipe întregi, bugete considerabile și luni de pregătire. Aici, trei cercetători independenți au obținut un rezultat comparabil în câteva zile, folosind aceleași unelte disponibile oricărui programator care își permite un abonament lunar.

Asta nu înseamnă că toată lumea a devenit brusc un hacker de elită, cercetătorii aveau expertiza tehnică necesară să recunoască și să exploateze breșa inițială. Dar partea cea mai costisitoare a unui asemenea atac, transformarea unei vulnerabilități teoretice într-un exploit funcțional, a devenit accesibilă la un preț de câteva zeci de dolari pe lună. E o veste bună pentru cercetătorii care lucrează în interesul securității, prin programe de recompense precum cel al OpenAI. Dar e, în egală măsură, o veste proastă pentru toți ceilalți: dacă trei oameni cu abonamente obișnuite pot ajunge la codul sursă al unei companii de nivelul OpenAI, cât de vulnerabili suntem noi? Cu siguranță, astfel de incidente vor mai avea loc, însă nu de fiecare dată intențiile din spatele lor vor fi la fel de nobile. De data asta am avut noroc — și un bug bounty.

 

Surse:

  1. Wall Street Journal — sursa originală a informației (articol disponibil pe bază de abonament)
  2. OpenAI hacked by small team of white hat security researchers using Anthropic's Claude Opus 5 — VentureBeat
  3. AI de frontieră: toți cer pauză, nimeni nu frânează primul — AIdapted
  4. Evaluare 2026: Pentru o notă bună, au furat rezolvările și baremul chiar în timpul examenului — AIdapted
  5. Agenți AI de la OpenAI și Anthropic au creat identități false și au încercat să convingă un dezvoltator să accepte cod malițios — AIdapted
  6. „Război teritorial" între agenți AI: ce s-a întâmplat când Anthropic a pus trei modele Claude să lucreze pe același proiect — AIdapted