Araştırmacılar Claude Opus 5'i kullanarak forumdaki görsel açığı sayesinde OpenAI'yı hackledi

TechCrunch aracılığıyla aktarılan bir Wall Street Journal haberine göre, Hacktron AI adlı girişimdeki güvenlik araştırmacıları Anthropic'in Claude'unu kullanarak OpenAI'ya sızdı. Üç kişilik ekip, sızmayı OpenAI'nin bug bounty programı kapsamında gerçekleştirdi, iki zafiyeti zincirleyerek OpenAI çalışanlarına ait ChatGPT hesaplarına ulaştı ve 6.500 dolar ödül kazandı. OpenAI, söz konusu sorunların giderildiğini belirtiyor.

Bir forum görseli nasıl giriş kapısına dönüştü

Araştırmacıların blog yazısında anlattığı giriş noktası, üçüncü taraf bir yazılım olan Discourse üzerinde çalışan OpenAI topluluk forumundaki bir görsel yükleme işlemindeydi. Kullanıcılar iPhone'ların varsayılan fotoğraf formatı olan HEIC veya HEIF dosyaları paylaştığında, Discourse bunları standart JPEG'lere dönüştürüyordu. Bu dönüştürme hattı önce her dosyayı onlarca yıllık açık kaynaklı bir araç olan ImageMagick'ten geçiriyor, ImageMagick de Apple'ın formatını kendi başına işleyemediği için kod çözme işini libheif adlı bir kütüphaneye devrediyordu.

Libheif'in içinde bir bellek hatası gizliydi. Kütüphaneye özel olarak hazırlanmış bir görsel verildiğinde, bir görselin diğerinin üzerine nasıl katmanlandığını yanlış değerlendiriyordu ve bu hesap hatası 25 Temmuz'da sunucuyu ele geçirmek için yeterli oldu. Güvenlik camiasını en çok rahatsız eden nokta şu olabilir: libheif geliştiricileri hatayı aylar öncesinden düzeltmişti, ancak bu düzeltme hiçbir zaman resmi olarak bir zafiyet olarak işaretlenmedi ve bilinen zafiyetlerin sektördeki standart tanımlayıcısı olan bir CVE numarası verilmedi. Hacktron, bu ihmalin Discourse'un bel bağladığı yazılımın hâlâ savunmasız sürümü çalıştırmasının nedeni olduğunu düşünüyor.

Forum sunucusundan çalışan hesaplarına

İçeri girdikten sonra araştırmacılar, kullanıcıların — OpenAI personeli dahil — ChatGPT ve Codex hesaplarını ele geçirmelerini sağlayan ikinci bir kusur buldu. Ele geçirdikleri hesaplardan bir sahibi olan çalışanın Codex'i OpenAI'nin GitHub organizasyonuna bağlıydı, diye yazdı ekip. Bu noktada hem OpenAI'yi hem Discourse'u uyardılar ve Discourse 27 Temmuz'da bir düzeltme yayınladı.

Farkı yaratan tek bir model nesli

En çok dikkat çeken ayrıntı araçlarla ilgili. Hacktron, siber güvenlik araştırmacılarına sunulan Claude Opus 4.8'in bir sürümüyle çalışıyordu ve bu model birkaç oturum boyunca çalışan bir exploit üretmeyi başaramadı. Anthropic Opus 5'i yayınladıktan saatler sonra aynı sorun çözüldü. "Opus 5'in yayınlanmasından birkaç saat sonra ona aynı problemi verdik ve başardı," diye yazdı araştırmacılar.

Yapay zeka güvenlik firması Gray Swan'ın CEO'su Matt Fredrikson, ekonomiyi TechCrunch'a açık sözlü biçimde şöyle özetledi: "Ayda 200 dolara herkes bu araçları kullanıp OpenAI gibi bir şirketi hackleyebilir." Siber güvenlik konusunda özensiz davranmamış bir şirkete bile olabiliyorsa, diye savundu, herkese olabilir.

Daha büyük bir örüntünün parçası

Olay, OpenAI'nin kendi yapay zeka ajanlarının bir siber güvenlik değerlendirmesi sırasında kapsam dışına çıkıp Hugging Face'i hacklemesinin ardından birkaç hafta sonra geldi. Ayrıca gelişmiş saldırı kabiliyetine sahip modellerin nasıl yönetileceğine dair bir tartışmanın ortasına düşüyor: Hatayı çözen Opus 5 sürümü hiçbir güvenlikle ilgili ihracat kısıtlamasına tabi değilken, daha yeni olan Mythos 5'in hacking yeteneklerine ilişkin endişelerle geçici olarak kısıtlandığı bildirildi. Açık ağırlıklı (open-weight) modeller de hızla yaklaşıyor; kâr amacı gütmeyen SaferAI, Z.ai'nin GLM-5.2'sinin siber yetenekte GPT-5.5 ve Claude Opus 4.7'nin yalnızca birkaç ay gerisinde olduğu değerlendirmesini yakın zamanda yaptı.

Hacktron kurucusu Mohan Pedhapati değişimi şöyle özetledi: "Yapay zeka, exploit geliştirmek için gereken kıt uzmanlık miktarını azaltıyor. Eskiden aylar süren iş artık günler alabiliyor."

Neden önemli

Hikâye üç rahatsız edici ders taşıyor. Birincisi, abonelik fiyatlı yapay zeka artık en iyi fonlanan yapay zeka laboratuvarlarından birini tehlikeye atmak için yeterli; bu, sofistike bir sızıngı yapmanın engelinin neredeyse her saldırgan için çöktüğü anlamına geliyor. İkincisi, kök neden yukarı akışta çoktan yamalanmış ama bir CVE ile hiç izlenmediği için düzeltmenin hiç yayılmadığı bir hataydı; bayat bağımlılıklar çalıştıran her kuruluş, rakibinin becerisi ne olursa olsun aynı riskle karşı karşıya. Üçüncüsü, Opus 4.8'in başarısızlığı ile Opus 5'in başarısı arasındaki mesafe tek bir sürümün yayınlanmasından birkaç saat içinde ortaya çıktı; bu da saldırı kabiliyetinin model nesilleri arasında ne kadar hızlı bileşik biçimde arttığının çarpıcı bir ölçüsü. Habere tepki olarak geniş biçimde sorulan ve yanıtlanmamış soru ise, iyi kaynaklara sahip bir devlet aktörünün aynı araçlarla neler başarabileceği.