Ein Team von Sicherheitsforschern hat einen detaillierten Bericht darüber veröffentlicht, wie es einen Speicherbeschädigungsfehler in einer weit verbreiteten Open-Source-Bildbibliothek mit einer falsch konfigurierten Single-Sign-On-Einstellung verknüpfte, um auf die internen Code-Repositories von OpenAI zuzugreifen – ein Einbruch, den das Unternehmen in etwa 14 Stunden behebte und mit einer Fehlerprämie von 6.500 US-Dollar quittierte.
Der von der Sicherheitsfirma Hacktron veröffentlichte Artikel beschreibt Ereignisse vom Juli 2026, als das Team über das unternehmenseigene Community-Forum die ChatGPT-Konten mehrerer OpenAI-Mitarbeiter kompromittiert hat. Es erregte diese Woche neue Aufmerksamkeit, nachdem eine Hacker News-Diskussion über die Forschung mehrere hundert positive Stimmen erhielt. Schauen Sie sich die wichtigsten technischen Behauptungen an: Discourse, die beteiligte Forensoftware, hat einen Sicherheitshinweis veröffentlicht – GHSA-vhm9-85gw-x335, mit dem Titel „RCE via malformed HEIF file“ – der die zugrunde liegende Schwachstelle beschreibt. Weitere Informationen zu dieser Geschichte finden Sie in unserer KI-Branchenberichterstattung.
Die Kette: Ein Forum, ein Bildparser und ein SSO-Fehler
Laut Hacktron war der Einstiegspunkt community.openai.com, das Diskurs-basierte Forum, in dem Benutzer die Produkte von OpenAI diskutieren. Das Forum ermöglicht die „Anmeldung mit OpenAI“ über die Identitätsinfrastruktur des Unternehmens, was den Forschern Anlass zu der Annahme gab, dass eine Kompromittierung des Forums einen Weg zu umfassenderen OpenAI-Diensten ebnen könnte.
Die erste Schwachstelle befand sich in der Bild-Upload-Pipeline des Forums. Discourse überprüft Uploads normalerweise mit einer Bibliothek namens FastImage, aber FastImage unterstützt HEIF – das Bildformat hinter iPhone-Fotos – nicht, daher wurden HEIC- und HEIF-Dateien stattdessen zur Konvertierung an den Magick-Befehl von ImageMagick übergeben. Dadurch wurde der zugrunde liegende libheif-Parser direkt den vom Angreifer kontrollierten Dateien ausgesetzt.
Das Discourse Docker-Image wurde auf Debian 12 erstellt, das eine Version von libheif – 1.19.7 – auslieferte, der relevante Sicherheits-Backports fehlten, schrieb Hacktron. Der anfällige Code war im Vorjahr im Original geändert worden, aber der Commit wurde nie als Sicherheitsupdate dokumentiert und erhielt kein CVE, was nach Ansicht der Forscher der Grund dafür ist, dass Debian ihn nicht rechtzeitig zurückportiert hat. Sogar Debian 13 lieferte noch eine anfällige Version, 1.19.8, bis Debian am 8. August 2026 ein Sicherheitsupdate veröffentlichte.
Die zweite Schwachstelle war eine SSO-Fehlkonfiguration in der Identitätsinfrastruktur von OpenAI, deren Einzelheiten nicht veröffentlicht wurden. Zusammengenommen bedeuteten die beiden Schwachstellen, dass – bis vor etwa zwei Monaten, laut dem Bericht – jeder Benutzer oder OpenAI-Mitarbeiter, der sich im Hilfeforum des Unternehmens anmeldete, dazu hätte gelangen können, dass seine ChatGPT- und Codex-Konten übernommen wurden.
Wo KI ins Spiel kommt
Was die Offenlegung für die KI-Branche bemerkenswert macht, ist die Art und Weise, wie die Schwachstellen gefunden wurden. Das Team – Harsh Jaiswal, Mohan Pedhapati und Rahul Maini – startete eine KI-Codierungssitzung mit dem Discourse Docker-Image und bat Claude Opus 4.8 von Anthropic, das installierte libheif-Paket auf Sicherheitsprobleme zu überprüfen. Das Modell identifizierte die fehlenden Sicherheits-Backports. Anschließend nutzten die Forscher die KI-Unterstützung, um einen funktionierenden Exploit zur Codeausführung gegen die Bildbibliothek zu entwickeln.
Dem Beitrag zufolge hatte Hacktron damit begonnen, KI-Unternehmen im Grenzbereich gezielt zu untersuchen, um Sicherheitslücken zu finden. Die Folge ist eine kompakte Demonstration eines Trends, vor dem Sicherheitsteams gewarnt haben: KI-Systeme sind jetzt nützlich genug, um Schwachstellenforschung, die früher Wochen dauerte, auf Tage zu verkürzen. Laut Hacktron dauerte die gesamte Zeitspanne – von der ersten Entdeckung bis zum Zugriff auf die internen Repositories von OpenAI – weniger als 72 Stunden.
Zugang beweisen, ohne Geheimnisse preiszugeben
Am 25. Juli, so das Team, habe es die Kette genutzt, um die ChatGPT-Konten mehrerer OpenAI-Mitarbeiter zu kompromittieren. Da Mitarbeiter Dienste wie GitHub, Slack und E-Mail mit ChatGPT und Codex verbinden, umfasste der theoretische Explosionsradius laut den Forschern interne Repositories und eine breite Palette verbundener Tools.
Entscheidend ist, dass das Team das Auslesen sensibler Daten vermieden hat. Um den Zugriff nachzuweisen, ohne ihn auszunutzen, nutzten sie die Codex-Instanz eines Mitarbeiters, um einen harmlosen Pull-Request – Nummer 1186742 – im internen Monorepo von OpenAI in einem Repository namens openai/openai zu öffnen. Der Link zu dieser Pull-Anfrage wird auf Anfrage von OpenAI im Text geschwärzt. Die Forscher benachrichtigten direkt die Ansprechpartner im Unternehmen und stellten am selben Nachmittag alle weiteren Tests ein.
Schnelle Lösung, bescheidene Prämie
Hacktron meldete die Ergebnisse über das Bug-Bounty-Programm von OpenAI auf Bugcrowd und an Discourse über HackerOne. Dem Bericht zufolge bestätigte OpenAI etwa 14 Stunden nach der ersten Einreichung eine Lösung und zahlte ein Kopfgeld von 6.500 US-Dollar. In einem von Hacktron zitierten Kommentar stellte OpenAI fest, dass Tests mit dem von Discourse gehosteten Forum ausdrücklich vom Umfang seiner Bug-Bounty ausgeschlossen seien – die Auszeichnung würdigte die OpenAI-seitige SSO-Ergebnis und nicht die Forum-Kompromittierung selbst.
Auch der Diskurs ging schnell voran: Innerhalb weniger Tage war ein Fix fertig und als Tiefenverteidigung wurde Bildverarbeitungs-Sandboxing hinzugefügt, und es wurde die Empfehlung GHSA-vhm9-85gw-x335 mit Patch- und Rebuild-Anleitungen veröffentlicht. Das Unternehmen warnte selbstgehostete Betreiber, ihre Installationen aus aktualisierten Docker-Images neu zu erstellen, da ein Web-Interface-Update allein möglicherweise nicht die anfällige zugrunde liegende Bibliothek ersetzen könne.
HEIF-Überfall: Eine Bibliothek, viele Opfer
Die OpenAI-Kette entstand aus einer umfassenderen Untersuchung, die Hacktron HEIF Heist nennt, einem mehrmonatigen Versuch, Libheif auf weit verbreiteten Plattformen wie Slack, Meta, GitHub Enterprise, Ruby on Rails und Node.js-Frameworks wie Next.js, Astro und Gatsby zu verfolgen. Die Warnung des Unternehmens ist unverblümt: Jede Anwendung, die benutzergesteuerte Bilder verarbeitet und .heic-, .heif- oder .avif-Dateien akzeptiert, ist wahrscheinlich von zumindest einer Variante des Problems betroffen, und eine überraschend große Menge weit verbreiteter Software hängt von dieser einen Bildverarbeitungsbibliothek ab.
Für OpenAI ist der Vorfall eine unangenehme Erinnerung daran, dass der Sicherheitsbereich eines Grenz-KI-Labors nur so stark ist wie seine bescheidenste Komponente – in diesem Fall ein Bildparser innerhalb eines Community-Forums. Für alle anderen ist die praktische Lösung einfacher: Patchen Sie libheif, erstellen Sie Discourse-Installationen aus aktualisierten Images neu und gehen Sie davon aus, dass derjenige, der Ihren Perimeter sondiert, jetzt KI-Unterstützung hat.
---
Bleib vorne bei KIDie neuesten KI-Nachrichten, Analysen und Durchbrüche – alles an einem Ort.
Mehr KI-Nachrichten lesen →
