Безопасность нейросетей за $3 000: трое исследователей за 72 часа вскрыли репозиторий OpenAI

The Wall Street Journal со ссылкой на собственные источники описывает, как исследователи добрались до внутреннего GitHub-репозитория OpenAI под названием «Monorepo». По данным издания, этот репозиторий содержит «алгоритмические секреты OpenAI». Сами исследователи остановились на пороге: они не стали скачивать внутренний код, а отправили pull request (запрос на изменение кода) из аккаунта сотрудника в Codex, чтобы доказать, что доступ получен.

Событие произошло стремительно. Claude Opus 5 вышел вечером 24 июля, а уже к 10 утра следующего дня команда с его помощью добилась удалённого выполнения кода на серверах Discourse, форумной платформы OpenAI. Для компании, которая строит системы искусственного интеллекта следующего поколения, точкой входа оказался сторонний сервис для общения с пользователями.

Как именно проникли внутрь?

Метод атаки, который исследователи назвали «HEIF Heist», опирается на уязвимость в обработке изображений формата HEIF. HEIF (High Efficiency Image Format) используется, например, в фотографиях с iPhone.

Исследователи подготовили повреждённый файл изображения и загрузили его через Discourse, стороннюю платформу, на которой работают форумы сообщества OpenAI. Система обработки изображений Discourse не справилась с файлом корректно, и это позволило выполнить произвольный код на сервере (RCE, remote code execution, удалённое выполнение кода, то есть возможность запускать свои команды на чужом компьютере).

Оттуда команда получила доступ к аккаунтам сотрудников OpenAI и добралась до внутреннего репозитория «Monorepo» на GitHub. Ключевой инструмент атаки: нейросети Claude Opus 4.8 и Claude Opus 5, которые помогали находить уязвимости и выстраивать цепочку проникновения.

Что обнаружили исследователи?

• Скорость: адаптация атаки к новой компании занимала «один-два дня», по словам исследователей. Метод применили к OpenAI, Slack, Meta, GitHub Enterprise, Rails, Next.js, ImageMagick и другим целям.
• Стоимость: вся операция обошлась менее чем в $3 000, потраченных на токены (оплата запросов к нейросетям).
• Незаметность: из всех атакованных компаний атаку обнаружила только одна, Shopify. Остальные, включая OpenAI, узнали о проникновении от самих исследователей.
• Масштаб доступа: исследователи получили возможность отправлять pull request от имени сотрудника OpenAI, что означает доступ уровня разработчика к репозиторию с алгоритмическими секретами.

Что это значит для вас?

Авторам Дзена и контент-маркетологам. Безопасность нейросетей напрямую касается тех, кто хранит тексты, промпты и стратегии в облачных сервисах. Если у OpenAI точкой входа стал форум на Discourse, то у автора это может быть любой подключённый плагин или сервис обработки изображений. Проверьте, какие сторонние приложения имеют доступ к вашим рабочим аккаунтам, и отключите ненужные.

Предпринимателям и разработчикам в РФ. Российские специалисты могут воспроизвести подобные атаки с минимальными затратами, используя публично доступные версии Claude. Три человека и $3 000. Это показывает реальные риски для любой компании, которая использует сторонние сервисы для обработки пользовательского контента.

Всем, кто работает с ИИ. Уязвимость нашли не в самой нейросети, а в инфраструктуре вокруг неё. Нейросеть стала инструментом взлома, а не объектом. Это смещает фокус: защищать нужно не только модель, но и каждый сервис, который к ней подключён.

Случай с Hacktron показал конкретную вещь: самое слабое звено в безопасности ИИ-компании может оказаться не в модели, а в форуме для пользователей. Проверьте свои интеграции сегодня, пока это не сделал кто-то другой.

По данным The Wall Street Journal