Hacktron araştırmacıları Claude Opus 5 ile OpenAI'ı 72 saatte ele geçirdi
Güvenlik şirketi Hacktron, Anthropic'in Opus 5 modelini kullanarak OpenAI forumundaki bir görüntü işleme açığını istismar etti ve iç GitHub deposuna ulaştı.
ÖNE ÇIKANLAR
- Hacktron üçlü ekibi, OpenAI forumundaki libheif açığını Opus 5 ile 72 saatte istismar etti
- Ele geçirilen çalışan Codex hesabı üzerinden iç GitHub monorepo'suna erişim sağlandı
- Opus 4.8 ASLR bypassında başarısızken Opus 5 aynı gün çalışır exploit üretti
- OpenAI 14 saatte kimlik açığını kapatıp 6.500 dolar ödül ödedi
- Aynı görüntü işleme zinciri Slack, Meta, GitHub Enterprise'da da mevcut
Siber güvenlik şirketi Hacktron'ın üç araştırmacısı, OpenAI'ın hata ödül programı kapsamında 23 Temmuz'da başladıkları çalışmada, community.openai.com forumundaki Discourse platformunun HEIC/HEIF görüntü işleme zincirindeki libheif heap buffer overflow açığını hedef aldı. İlk denemelerde Claude Opus 4.8 modeli ASLR korumalı ortamda güvenilir bir exploit üretemedikçe, 24 Temmuz'da yayınlanan Opus 5 aynı gün çalışır bir uzaktan kod çalıştırma (RCE) kodu geliştirdi.
Araştırmacılar forum aracılığıyla bir OpenAI çalışanının ChatGPT hesabını ele geçirdi. Hesabın bağlı olduğu Codex aracılığıyla OpenAI'ın özel openai/openai monorepo'suna tam erişim sağladılar. Hacktron, mülkiyetli kaynak kodu incelemeden, varlıklarını kanıtlamak için zararsız bir pull request oluşturdu ve aynı gün OpenAI güvenlik ekibiyle iletişime geçti.
“Opus 5, önceki modelin tekrar tekrar çözemediği bir exploit engelini aştı.”
OpenAI, kimlik altyapısındaki yan açığı rapor alındıktan yaklaşık 14 saat sonra kapattı ve Hacktron'a 6.500 dolar ödül ödedi. libheif açığı daha önce yıl içinde geliştiriciler tarafından düzeltilmiş ancak güvenlik yaması olarak işaretlenmemiş ve CVE numarası atanmamıştı; bu nedenle Debian 12 tabanlı Discourse Docker imajında zafiyetli sürüm kalmıştı.
Hacktron, aynı libheif işleme zincirinin Slack, Meta, GitHub Enterprise ve Ruby on Rails gibi yaygın platformlarda da kullanıldığını belirtti. Saldırı, modern LLM'lerin güvenlik araştırmasındaki döngüyü haftalardan saatlere indirgebildiğini gösterdi.
Aşağıda 6 kaynak daha
YORUMLAR (0)
Henüz yorum yok. İlk yazan siz olun.
İLGİLİ HABERLER
Milas Belediye Başkanı Topuz Burdur Cezaevine Nakledildi
2,5 milyar liralık ihale usulsüzlüğü soruşturması kapsamında 18 kişi tutuklandı; CHP, Topuz'un emanetine sahip çıkacağını açıkladı.
Kyiv şehrinde gizli tutuklama merkezi skandalı, 14 yaşındaki çocuk bulundu
Kyiv'in bir semtinde gizli tutuklama merkezi iddiasıyla ortaya çıkan olayda 14 yaşındaki bir çocuk bulundu ve yetkililer benzer tesislerin var olduğunu kabul etti.
Malatya'da iki okulun temeli atıldı, 77 okul projesi yürütülüyor
Milli Eğitim Bakanı Yusuf Tekin, Malatya'da iki yeni okulun temel atma törenine katıldı ve 77 okul projesi hakkında bilgi verdi.
Bu sayfa, yukarıda adı geçen yayınların haberlerinden yapay zekâ destekli olarak derlendi ve yayın öncesi otomatik dil denetiminden geçti. Montegre'nin muhabiri yoktur; imza satırında haberin derlendiği yayınlar yazar. Yöntem ve yayın ilkeleri