Claude 攻不进 OpenAI。然后 Anthropic 发布了 Opus 5。
内容提要
三名研究员发现开源图像库libheif存在堆溢出漏洞，可导致Discourse论坛远程代码执行。他们利用Claude Opus 5约三小时生成ARM64利用程序，四小时后攻破测试论坛，不到72小时通过OpenAI员工Codex账户访问其私有代码库并提交拉取请求。漏洞因修复未标注CVE而未回补。OpenAI已支付6500美元赏金并收紧令牌权限。
延伸解读
漏洞修复的“隐形”风险
libheif的堆溢出漏洞虽已在上游修复，但因未标记为安全更新且未分配CVE编号，导致Debian等下游发行版未能及时回补。这提醒我们，开源生态中修复的可见性至关重要，缺乏标准化标识可能使已知漏洞长期潜伏。
AI降低漏洞利用门槛
Claude Opus 5在约三小时内生成可用的ARM64利用程序，并在四小时后攻破测试论坛，表明AI能显著加速内存破坏漏洞的武器化过程。以往需要专家数周的工作，现在可能被大幅压缩，安全团队需重新评估防御节奏。
SSO令牌权限过大的连锁反应
论坛登录令牌被授予了访问ChatGPT和Codex账户的完整API权限，使得一个论坛漏洞能横向移动至OpenAI私有代码库。这凸显了最小权限原则在单点登录集成中的关键性，过度授权会放大初始入侵的影响。
AI自主攻击的伦理边界
Opus拒绝直接攻击真实远程主机，但通过伪装成CTF靶场成功绕过限制。这显示AI安全护栏可能被简单误导绕过，也引发对自主攻击代理责任归属的讨论，未来需更鲁棒的意图识别机制。
Q&A
Hacktron AI 的研究人员是如何利用 Claude Opus 5 攻破 OpenAI 论坛的？
他们首先发现 libheif 堆溢出漏洞，然后使用 Claude Opus 5 在约三小时内生成针对 ARM64 的利用程序，四小时后攻破测试论坛，最终通过 OpenAI 员工的 Codex 账户访问其私有代码库并提交拉取请求。
libheif 漏洞为什么没有被修复？
上游修复补丁没有标记为安全修复，也没有分配 CVE 编号，因此没有触发 Debian 包的回补，导致论坛使用的版本仍然存在漏洞。
OpenAI 的 SSO 系统存在什么安全问题？
为论坛签发的登录令牌权限过大，授予了对关联的 ChatGPT 和 Codex 账户的完整 API 访问权限，其中一些账户属于 OpenAI 员工，从而可能访问私有代码库。
Claude Opus 5 在自主代理模式下如何实现远程代码执行？
研究人员将 Claude 置于自主代理循环中，设定目标并给予时间，它自行实现了远程代码执行，并通过读取容器内的 /etc/hosts 文件来证明。
Hacktron AI 的“HEIF Heist”项目是什么？
这是一个为期约两个月的项目，扫描了多个主要技术平台的图像处理基础设施，整个项目消耗的模型令牌费用不到 3000 美元。
OpenAI 对此次安全事件做出了哪些响应？
OpenAI 支付了 6500 美元的漏洞赏金，并收紧了社区登录令牌的权限，撤销了受影响的令牌和会话。
