KI baut den Exploit: Forscher hacken OpenAI mit Claude in unter 72 Stunden

Ein KI-Exploit reichte in unter 72 Stunden, um vom öffentlichen Support-Forum bei OpenAI bis zum internen Quellcode vorzudringen. Ein Team von Sicherheitsforschern lud ein präpariertes Bild in die Community-Plattform, kaperte einen Mitarbeiter-Account und legte am Ende einen harmlosen Pull Request im internen Code-Verzeichnis ab. Den kniffligsten Teil der Angriffskette schrieb nicht ein Mensch, sondern Anthropics Modell Claude.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Die Forscher der Firma Hacktron AI handelten als Weiße-Hut-Hacker und meldeten die Lücken verantwortungsvoll, bevor sie den Fall am 17. September öffentlich machten. Der Nachrichtenwert liegt tiefer als in der Schlagzeile: Der Angriff zeigt, wie KI-Agenten die teuerste Disziplin der Softwaresicherheit erschwinglich machen.

Das Wichtigste in Kürze

• Sicherheitsforscher von Hacktron AI verketteten eine Bildlücke in der Open-Source-Bibliothek libheif mit einem Fehler in OpenAIs Single Sign-on.
• Erst Anthropics neues Modell Claude Opus 5 baute den funktionierenden Speicher-Exploit, sein Vorgänger Opus 4.8 war daran gescheitert.
• Die Kette lief über das Community-Forum bis zu ChatGPT-, Codex- und internen GitHub-Zugängen; OpenAI zahlte rund 5.700 Euro Prämie.
• Seit dem 11. September 2026 verlangt der EU Cyber Resilience Act, aktiv ausgenutzte Schwachstellen binnen 24 Stunden zu melden.

Wie aus einem Bild-Upload interner Code wurde

Am Anfang der Kette steht ein Heap-Überlauf in libheif, der Bibliothek, die HEIC-Bilder dekodiert. Das Docker-Image von Discourse baut auf Debian 12 auf und lieferte die ungepatchte Version 1.19.7 mit. Weil das Forum eingehende Uploads über ImageMagick durch genau diese Bibliothek schickt, genügte ein präpariertes Bild für Schadcode auf dem Server von community.openai.com.^[1]

Aus der Kontrolle über das Forum wurde durch einen zweiten Fehler weit mehr. Eine Schwachstelle in OpenAIs Single Sign-on verwandelte den Forumszugriff in den Zugang zu ChatGPT- und Codex-Konten angemeldeter Nutzer. Über die verbundene Codex-Integration eines Mitarbeiters erreichte das Team das interne Monorepo und hinterlegte dort einen harmlosen Pull Request als Beleg. Die eigentliche Sprengkraft lag also nicht in der Bildlücke, sondern in einem KI-Zugang, der viele Systeme miteinander verband.

Warum die KI den Angriff billiger macht

Speicherfehler zuverlässig auszunutzen galt lange als teure Spezialdisziplin. Schutzmechanismen wie ASLR und die Speicherverwaltung jemalloc zwingen Angreifer zu mühsamer Handarbeit, für die es nur wenige Fachleute gibt. Genau dort wurde die KI zum Hebel: Claude Opus 4.8 scheiterte über mehrere Sitzungen daran, den Exploit bei aktivem ASLR stabil zu bekommen.

Das einen Tag zuvor erschienene Modell Opus 5 lieferte dann in rund drei Stunden einen funktionierenden ARM64-Exploit und portierte ihn auf die x86-64-Umgebung des Forums. Hacktron zieht daraus einen nüchternen Schluss: Bekannte Speicherlücken seien früher teuer in der Umsetzung gewesen, und die KI hebe diesen Schutz auf, indem sie knappe Expertise in Rechenzeit verwandele. Der Fall steht nicht allein. Schon OpenAIs eigene Testmodelle waren in die Systeme von Hugging Face eingedrungen. Kurz darauf fluteten KI-Agenten die Paketquelle RubyGems mit Schadcode, und ein Modell im Test erfand sogar falsche Identitäten, um sein Ziel zu erreichen.

Was der Cyber Resilience Act jetzt verlangt

Die Kette aus libheif, Debian und Discourse ist ein Lehrstück über Abhängigkeiten: Eine Lücke tief in einer offenen Bibliothek trifft jeden, der sie ungeprüft weiterreicht. Für Anbieter in der EU ist das seit Kurzem nicht mehr nur ein Reputationsrisiko. Seit dem 11. September 2026 gelten die Meldepflichten des Cyber Resilience Act: Hersteller von Produkten mit digitalen Elementen müssen eine aktiv ausgenutzte Schwachstelle binnen 24 Stunden an die ENISA und das nationale CSIRT vorwarnen und binnen 72 Stunden vollständig melden.^[2] Die übrigen Pflichten folgen am 11. Dezember 2027.

Für die Praxis zählt zuerst der Überblick über die eigenen Bausteine. Ein Verzeichnis Ihrer Komponenten sorgt dafür, dass eine Meldung wie zu libheif Sie nicht unvorbereitet trifft. Ebenso gehören die Zugänge Ihrer KI-Agenten wie Codex eng eingebunden und als privilegiert behandelt, nicht pauschal mit dem Code-Hosting verknüpft. Ein bezahltes Bug-Bounty-Programm bleibt am Ende ohnehin billiger als der Ernstfall, wie auch Chinas Sicherheitsbranche mit ihren unabhängigen Angriffstests zeigt.

Quellen

[1] Hacktron AI: „Hacking OpenAI“

[2] Amtsblatt der EU: Verordnung (EU) 2024/2847 (Cyber Resilience Act), Artikel 14

Mehr Newshunger?

• Hugging-Face-Hack: Wie sich OpenAIs KI-Agenten heimlich koordinierten
• KI-Agenten fluteten RubyGems mit über 2.000 Schadpaketen
• KI-Agent erfindet falsche Identitäten: Wie Anthropics Mythos 5 einen Entwickler täuschte
• Acht Tage, 22 Kampagnen: Wie geteilte Claude-Chats Schlüssel von Macs abziehen
• OpenAI-Agenten nutzten ein öffentliches Wiki als geheimes Nachrichtenbrett