20/09/2026 · VietTechies · Biên tập
Các nhà nghiên cứu bảo mật tại Hacktron AI cho biết Claude Opus 5 của Anthropic đã giúp họ phát triển một mã khai thác lỗi hỏng bộ nhớ hoạt động được, mở đầu cho chuỗi tấn công tiếp cận mã nguồn riêng tư của OpenAI. Theo nội dung Hacktron công bố và The New Stack đưa tin ngày 18/9, nhóm đã dừng lại sau khi dùng tài khoản Codex được liên kết của một nhân viên để gửi thay đổi vô hại đối với tệp README trong kho mã nguồn hợp nhất nội bộ của OpenAI.
Từ tệp ảnh tải lên đến thực thi mã
Lỗ hổng ban đầu là lỗi tràn bộ đệm vùng nhớ heap trong libheif 1.19.7. Lỗi có thể bị kích hoạt khi diễn đàn cộng đồng của OpenAI, xây dựng trên Discourse, dùng ImageMagick để xử lý một ảnh HEIC được chế tạo đặc biệt. Bản sửa lỗi đã được đưa vào dự án thượng nguồn từ trước, nhưng không được xác định là bản cập nhật bảo mật và chưa có mã CVE vào thời điểm ấy. Vì vậy, bản vá không được chuyển ngược vào gói Debian 12 mà diễn đàn sử dụng.
Discourse sau đó xác nhận vấn đề trong khuyến cáo bảo mật GHSA-vhm9-85gw-x335. Lỗ hổng libheif liên quan hiện được theo dõi với mã CVE-2026-32882 và có điểm CVSS 8,8.
Khác biệt rõ rệt giữa hai phiên bản mô hình
Ngày 24/7, Hacktron ban đầu giao nhiệm vụ phát triển mã khai thác cho Claude Opus 4.8. Mô hình này chỉ tạo được kết quả hoạt động sau khi cơ chế ngẫu nhiên hóa bộ nhớ của hệ điều hành bị tắt, không giống cấu hình sản xuất thông thường. Sau khi Anthropic phát hành Opus 5 vào tối hôm đó, các nhà nghiên cứu cho biết mô hình mới mất khoảng ba giờ để tạo mã khai thác ARM64, rồi thêm khoảng bốn giờ để đạt khả năng thực thi mã từ xa trên một diễn đàn thử nghiệm.
Quyền SSO quá rộng kéo dài chuỗi xâm nhập
Việc truy cập diễn đàn không trực tiếp làm lộ các kho mã nguồn của OpenAI. Theo Hacktron, token đăng nhập một lần của OpenAI được cấp nhiều quyền API hơn mức cần thiết, trong đó có quyền truy cập các tài khoản ChatGPT và Codex liên kết. Tài khoản Codex của một nhân viên đã được kết nối với GitHub, tạo đường dẫn đến các kho mã nguồn riêng tư. OpenAI sau đó thu hẹp quyền của token đăng nhập diễn đàn, đồng thời thu hồi các token và phiên bị ảnh hưởng.
Khả năng tự chủ vẫn có giới hạn đáng kể
Trong một lần thử riêng trên hạ tầng do Hacktron kiểm soát, Claude được cho là đã đạt khả năng thực thi mã từ xa và đọc tệp /etc/hosts trong container với rất ít sự can thiệp của con người. Tuy nhiên, ban đầu mô hình từ chối nhắm vào một máy chủ từ xa đang hoạt động. Các nhà nghiên cứu vượt qua giới hạn này bằng cách đưa máy chủ của họ qua một URL khiến mục tiêu có vẻ thuộc một thử thách capture-the-flag. Điều đó cho thấy kết quả tự chủ phụ thuộc vào việc mô hình bị dẫn dắt sai về môi trường mục tiêu.
Dự án lớn hơn mang tên HEIF Heist kéo dài khoảng hai tháng và tiêu tốn chưa đến 3.000 USD cho token mô hình. OpenAI đã trả cho Hacktron khoản tiền thưởng 6.500 USD cho lỗ hổng chiếm quyền tài khoản.
Ảnh minh họa do AI tạo.
Nguồn: Claude couldn’t hack OpenAI. Then Anthropic shipped Opus 5.