研究人员称借助 Claude，三人团队不到72小时攻入 OpenAI 员工账户

导语

人工智能正在改变网络攻击的门槛。根据《华尔街日报》报道、由 The Verge 转述，三名独立安全研究人员组成的 Hacktron 团队称，他们使用 Anthropic 的 Claude Opus 4.8 和 5，以及 OpenAI 的 Codex，在不到72小时内进入了 OpenAI 员工的相关账户。这个案例的重点并不是“模型单独攻破了 OpenAI”，而是人工智能被用作漏洞研究、利用链调整和目标适配的加速器。

核心要点

• Hacktron 通过 OpenAI 社区论坛所使用的 Discourse 展开攻击。团队利用该系统处理 HEIF 图片时存在的问题，实现了远程代码执行，即 RCE。
• 研究人员称，Claude Opus 5 于7月24日晚间发布后，到次日上午10点左右，他们已经在 Discourse Cloud 上完成关键突破，并进入 OpenAI 的相关实例。
• 团队随后获得了 OpenAI GitHub 仓库“Monorepo”的访问路径。该仓库据报道包含 OpenAI 的算法机密，但研究人员表示，他们没有进一步读取其中的内部代码，而是使用一名员工的 Codex 账户提交了 pull request，作为访问权限的证明。
• Hacktron 称，将名为“HEIF Heist”的项目适配到 OpenAI、Slack、Meta、GitHub Enterprise、Rails、Next.js 和 ImageMagick 等目标，只用了约一两天，模型调用成本低于3000美元。据团队了解，只有 Shopify 识别出了这类活动。
• Discourse 和 OpenAI 方面已经修复相关漏洞。Hacktron 表示，OpenAI 为漏洞报告支付了6500美元。

意义与影响

这起事件首先说明，AI 编程助手可以显著压缩漏洞研究中的重复劳动。过去需要研究人员手动分析图片解析流程、构造测试样本、修改利用代码，再逐个适配目标环境；如今，模型能够协助完成代码理解、错误定位、变体生成和环境迁移。即使最终仍需要人类判断，整体攻击准备时间也可能明显缩短。

其次，风险并不只来自最复杂的基础模型。Hacktron 技术负责人表示，他们只是“三个拥有 Claude 和 Codex 订阅的人”，并认为自身能力甚至不及更成熟的威胁行为者。这一说法虽然是团队的自我描述，不能直接等同于独立验证的结论，但它突出了一个现实：当高性能模型以订阅形式普及后，漏洞利用能力可能扩散到更多小型团队和个人。

不过，素材也存在需要谨慎解读的边界。事件细节主要来自 Hacktron 的说法和《华尔街日报》的报道，公开材料没有证明研究人员读取了 Monorepo 的内部代码，也没有显示 Claude 完全自主完成了攻击。更准确的理解是：人类研究人员设定目标、验证结果并承担操作责任，模型则提高了分析和迭代效率。

对企业而言，第三方服务、图片处理组件和员工身份凭证应被视为同一条攻击链上的环节。及时修补漏洞、限制服务账户权限、监测异常代码提交，并对 AI 辅助的自动化测试进行审计，可能比单纯依赖边界防火墙更重要。

来源：The Verge AI