Секретний доступ до OpenAI: як дослідники знайшли “ключі” до системи
Три талановиті кіберфахівці з команди Hacktron AI зуміли проникнути до облікового запису працівника OpenAI та отримати доступ до закритого коду компанії, використовуючи для цього інструмент від Anthropic на базі моделі Claude. Цікаво, що це сталося в межах офіційної програми пошуку помилок, за яку OpenAI ще й виплатила винагороду.
Як вдалося знайти “дірку” в обороні OpenAI
Все почалося з того, що дослідники виявили слабке місце у налаштуваннях форуму спільноти OpenAI, який працює на зовнішній платформі Discourse. Ця вразливість стала своєрідним “чорним ходом”, що дозволив їм отримати доступ до системи авторизації компанії.
Після цього вони змогли заволодіти акаунтом одного зі співробітників OpenAI, який, своєю чергою, мав доступ до внутрішнього програмного коду компанії через GitHub. Таким чином, кіберфахівці отримали можливість вивчати конфіденційну інформацію та навіть пропонувати зміни до програмного забезпечення OpenAI.
Для проведення своїх досліджень команда Hacktron AI використовувала спеціально розроблений інструмент від Anthropic, призначений для професіоналів у сфері кібербезпеки.
Представники OpenAI висловили подяку дослідникам за виявлення цих критичних недоліків та повідомили, що вже успішно їх усунули.
Нагадаємо, що модель Claude від Anthropic вже самостійно бере участь у 26% науково-дослідних проєктів, спрямованих на розробку наступного покоління штучного інтелекту.
Винагорода за виявлення вразливостей
OpenAI, в рамках своєї програми винагород за пошук помилок (bug bounty), виплатила дослідникам суму у розмірі $6 500 (приблизно 260 000 ₴ за курсом 2026 року) за знайдені проблеми.
Порада від Шефа:
Щоб ваша система була надійнішою, завжди пам’ятайте про принцип “найменших привілеїв”. Це означає, що кожен користувач чи система має мати доступ лише до тих ресурсів і даних, які їй абсолютно необхідні для виконання її функцій. Чим менше доступу – тим менше ризиків у разі компрометації.
Оригінал статті: ain.ua