Tiga peneliti dari startup keamanan Hacktron AI — Harsh Jaiswal, Mohan Pedhapati, dan Rahul Maini — pada akhir Juli memakai Claude Opus 5 buatan Anthropic untuk merangkai rantai eksploitasi yang berjalan dari forum developer OpenAI hingga masuk ke repositori kode internal OpenAI. Tim ini mempublikasikan proses lengkapnya di blog pada 13 September, dan pekan ini The Wall Street Journal serta The Information ikut memberitakannya, sehingga kasus ini mulai mendapat perhatian lebih luas.
Seluruh rantai ini bermula dari sebuah gambar dan berakhir di repositori utama OpenAI, openai/openai. Sebagai bukti, para peneliti membuka pull request yang tidak berbahaya (nomor #1186742) di dalamnya, tanpa mengakses data sensitif apa pun.
Satu Gambar HEIF Menembus Forum
Forum developer OpenAI, community.openai.com, berjalan di atas Discourse. Pustaka gambar bawaan Discourse tidak mengenali format HEIF, sehingga unggahan berformat ini diteruskan ke ImageMagick, yang kemudian memanggil libheif untuk mendekodekannya.
Masalahnya ada pada libheif. Ada celah heap buffer overflow di dalamnya, dan versi 1.19.7 yang ada di repositori Debian tidak pernah menerima backport patch keamanan yang sesuai. Berbekal celah ini, para peneliti membuat gambar HEIF berbahaya yang, begitu diunggah, memberi mereka hak eksekusi kode jarak jauh (remote code execution) di server forum. Menurut Hacktron, versi libheif yang terdampak membentang dari 1.19.7 hingga 1.23.x, mencakup banyak distribusi Linux.
Menguasai server forum hanyalah langkah pertama. Server tersebut menyimpan token autentikasi para pengguna yang sedang login, termasuk karyawan OpenAI, dan para peneliti menemukan bahwa sebagian token forum ini bisa langsung dipakai di ChatGPT. Hacktron menekankan hal ini secara khusus di blognya:
"The vulnerability to escalate is not Discourse-specific. It is an OpenAI SSO issue"
Celah yang dipakai untuk eskalasi hak akses bukan masalah khusus Discourse, melainkan masalah pada sistem single sign-on (SSO) OpenAI sendiri.
Lewat celah ini, para peneliti mengambil alih akun ChatGPT dan Codex milik beberapa karyawan. Codex milik salah satu karyawan terhubung ke organisasi GitHub OpenAI, sehingga para peneliti mengirimkan prompt ke Codex tersebut agar membuka pull request di repositori internal. Menurut Hacktron, layanan lain seperti Slack dan email yang tersambung lewat SSO yang sama tidak mereka sentuh.
Opus 4.8 Gagal, Opus 5 Cuma Butuh Tiga Jam
Bagian yang paling banyak dibahas di blog itu adalah peran model AI-nya. Celah overflow di libheif ini sulit dieksploitasi di lingkungan yang mengaktifkan ASLR (address space layout randomization), dan tim sebelumnya sudah berkali-kali mencoba dengan Claude Opus 4.8 tanpa hasil.
"Opus 4.8 struggled across several sessions to produce a working exploit with ASLR enabled. Within hours of Opus 5's release, we gave it the same problem and it succeeded."
Opus 4.8 kesulitan di berbagai sesi untuk menghasilkan eksploitasi yang berfungsi dengan ASLR aktif; beberapa jam setelah Opus 5 dirilis, tim memberinya masalah yang sama, dan berhasil.
Menurut linimasa yang diberikan tim, Opus 5 dirilis pada 24 Juli, dan dalam waktu sekitar tiga jam model ini lebih dulu menulis eksploitasi yang berfungsi di mesin ARM64 lokal, lalu memindahkannya ke lingkungan x86-64 plus jemalloc yang benar-benar dipakai server Discourse. Para peneliti menempatkan Claude dalam loop otonom, mencobanya berulang kali terhadap instance Discourse Cloud milik mereka sendiri; ketika dicek keesokan paginya, model itu sudah berhasil mendapat eksekusi kode dan membaca /etc/hosts sebagai bukti. Skrip yang sama kemudian berhasil dipakai, tanpa perubahan, pada instance milik OpenAI.
Dari penemuan sampai berhasil menembus, total waktunya sekitar 72 jam. Hacktron menyebut, seluruh riset yang mereka namai "HEIF Heist" ini menghabiskan biaya token di bawah 3.000 dolar AS.
Ini bukan kali pertama perusahaan tersebut memakai Claude untuk menulis kode eksploitasi. Sebelumnya mereka pernah mempublikasikan tulisan tentang memakai Claude Opus untuk membuat eksploitasi Chrome, dan kesimpulannya saat itu model bisa mengerjakan sebagian besar pekerjaan, tapi bagian krusial masih perlu didorong manusia. Kali ini, di sepanjang rantai dari forum sampai repositori kode, porsi kerja manusia jelas berkurang jauh. Menurut penjelasan tim, kode eksploitasi untuk bagian Discourse hampir sepenuhnya dikerjakan sendiri oleh model.
Perbaikan dan Bug Bounty
Respons OpenAI terbilang cepat. Setelah para peneliti melapor pada 25 Juli, OpenAI mengonfirmasi perbaikan dalam waktu sekitar 14 jam, tepatnya pukul 22:49 UTC pada hari yang sama. Pihak Discourse mengonfirmasi menerima laporan pada hari Minggu dan merilis perbaikan pada Senin berikutnya. Pada 1 September, OpenAI membayarkan bug bounty senilai 6.500 dolar AS.
Sejauh ini yang tersedia hanya versi cerita dari pihak Hacktron. Apakah OpenAI sudah memeriksa catatan akses ke server forum ini sebelum celah diperbaiki, apakah ada pihak lain yang sempat mengeksploitasi rantai yang sama, dan apakah token karyawan sudah dinonaktifkan secara menyeluruh — semua ini belum dijelaskan secara terbuka hingga tulisan ini dipublikasikan.
Bagi para developer, ada dua hal dari kasus ini yang layak dicocokkan dengan situasi masing-masing: pertama, tim yang menjalankan Discourse atau platform komunitas serupa secara mandiri perlu tahu bahwa ImageMagick dan berbagai pustaka decoder dalam alur pemrosesan gambar mereka sering kali lebih lambat mendapat patch dibanding aplikasi utamanya; kedua, bagi perusahaan yang menyatukan forum, sistem tiket, dan produk utama di bawah satu sistem single sign-on yang sama, seberapa jauh token bisa "berjalan" begitu satu layanan pinggiran berhasil ditembus, sangat bergantung pada seberapa sempit cakupan SSO tersebut dibatasi.
Sumber: blog teknis Hacktron AI, The Wall Street Journal, CocoLoop, The Information; rantai eksploitasi, linimasa 72 jam, perbaikan dalam 14 jam, bug bounty 6.500 dolar AS, dan biaya token di bawah 3.000 dolar AS telah diverifikasi dari tulisan blog Hacktron.