Un team di ricercatori sulla sicurezza ha pubblicato un resoconto dettagliato di come ha concatenato un bug di corruzione della memoria in una libreria di immagini open source ampiamente utilizzata con un'impostazione di accesso singolo configurata in modo errato per raggiungere i repository di codice interno di OpenAI: un'intrusione che l'azienda ha risolto in circa 14 ore e ha riconosciuto con una ricompensa per il bug di 6.500 dollari.

L'articolo, pubblicato dalla società di sicurezza Hacktron, descrive gli eventi del luglio 2026, quando il team ha compromesso gli account ChatGPT di diversi dipendenti OpenAI attraverso il forum della community dell'azienda. Ha attirato nuova attenzione questa settimana dopo che una discussione sulla ricerca di Hacker News ha raccolto diverse centinaia di voti positivi. Le affermazioni tecniche principali sono verificate: Discourse, il software del forum coinvolto, ha pubblicato un avviso di sicurezza - GHSA-vhm9-85gw-x335, intitolato "RCE tramite file HEIF malformato" - che descrive la vulnerabilità sottostante. Per maggiori informazioni su questa storia, consulta la nostra tendenze IA.

La catena: un forum, un parser di immagini e un difetto SSO

Secondo Hacktron, il punto di ingresso era community.openai.com, il forum basato su Discourse in cui gli utenti discutono dei prodotti OpenAI. Il forum consente di "accedere con OpenAI" attraverso l'infrastruttura di identità dell'azienda, il che ha dato ai ricercatori motivo di credere che compromettere il forum potrebbe aprire un percorso verso servizi OpenAI più ampi.

La prima vulnerabilità risiedeva nella pipeline di caricamento delle immagini del forum. Discourse normalmente controlla i caricamenti con una libreria chiamata FastImage, ma FastImage non supporta HEIF (il formato immagine dietro le foto di iPhone) quindi i file HEIC e HEIF sono stati passati invece al comando magick di ImageMagick per la conversione. Ciò ha esposto il parser libheif sottostante direttamente ai file controllati dagli aggressori.

L'immagine Discourse Docker è stata creata su Debian 12, che ha fornito una versione di libheif - 1.19.7 - priva di backport di sicurezza rilevanti, ha scritto Hacktron. Il codice vulnerabile era stato modificato a monte l'anno precedente, ma il commit non è mai stato documentato come una soluzione di sicurezza e non ha ricevuto alcun CVE, il che, secondo i ricercatori, è il motivo per cui Debian non ne ha effettuato il backport in tempo. Anche Debian 13 distribuiva ancora una versione vulnerabile, la 1.19.8, finché Debian non pubblicò un aggiornamento di sicurezza l'8 agosto 2026.

Il secondo punto debole era un'errata configurazione del SSO nell'infrastruttura di identità di OpenAI, i cui dettagli non sono stati pubblicati. Concatenati insieme, i due difetti significavano che, fino a circa due mesi fa, secondo l'articolo, qualsiasi utente o dipendente OpenAI che accedeva al forum di aiuto dell'azienda avrebbe potuto prendere il controllo dei propri account ChatGPT e Codex.

Dove entra in gioco l'intelligenza artificiale

Ciò che rende la divulgazione degna di nota per il settore dell’intelligenza artificiale è il modo in cui sono state individuate le vulnerabilità. Il team, composto da Harsh Jaiswal, Mohan Pedhapati e Rahul Maini, ha avviato una sessione di codifica AI con l'immagine Discourse Docker e ha chiesto a Claude Opus 4.8 di Anthropic di ispezionare il pacchetto libheif installato per problemi di sicurezza. Il modello ha identificato i backport di sicurezza mancanti. I ricercatori hanno quindi utilizzato l’assistenza dell’intelligenza artificiale per sviluppare un exploit funzionante di esecuzione del codice contro la libreria di immagini.

Secondo il post, Hacktron aveva iniziato a ricercare aziende di intelligenza artificiale di frontiera appositamente per individuare vulnerabilità della sicurezza. L’episodio è una dimostrazione compatta di una tendenza da cui i team di sicurezza hanno messo in guardia: i sistemi di intelligenza artificiale sono ora abbastanza utili da comprimere in giorni la ricerca sulle vulnerabilità che una volta richiedeva settimane. Hacktron afferma che l'intera sequenza temporale, dalla scoperta iniziale all'accesso ai repository interni di OpenAI, ha richiesto meno di 72 ore.

Dimostrare l'accesso senza nascondere segreti

Il 25 luglio, afferma il team, ha utilizzato la catena per compromettere gli account ChatGPT di diversi dipendenti OpenAI. Poiché i dipendenti collegano servizi come GitHub, Slack ed e-mail a ChatGPT e Codex, i ricercatori scrivono che il raggio di esplosione teorico includeva repository interni e un'ampia gamma di strumenti connessi.

Fondamentalmente, il team afferma di aver evitato di leggere dati sensibili. Per dimostrare l'accesso senza sfruttarlo, hanno utilizzato l'istanza Codex di un dipendente per aprire una richiesta pull innocua - numero 1186742 - nel monorepo interno di OpenAI, in un repository chiamato openai/openai. Il collegamento a tale richiesta pull viene oscurato nell'articolo su richiesta di OpenAI. I ricercatori hanno informato direttamente i contatti dell'azienda e hanno interrotto tutti gli ulteriori test lo stesso pomeriggio.

Soluzione rapida, ricompensa modesta

Hacktron ha segnalato i risultati tramite il programma bug bounty di OpenAI su Bugcrowd e a Discourse tramite HackerOne. OpenAI ha confermato la soluzione circa 14 ore dopo l'invio iniziale, secondo il resoconto, e ha pagato una taglia di 6.500 dollari. In un commento citato da Hacktron, OpenAI ha osservato che i test sul forum ospitato da Discourse erano esplicitamente esclusi dall'ambito del suo bug bounty: il premio ha riconosciuto la scoperta SSO lato OpenAI piuttosto che la compromissione del forum stesso.

Anche il discorso si è mosso rapidamente: aveva una soluzione pronta in pochi giorni e ha aggiunto il sandboxing di elaborazione delle immagini come difesa approfondita, pubblicando l'avviso GHSA-vhm9-85gw-x335 con indicazioni su patch e ricostruzione. L'azienda ha avvertito gli operatori self-hosted di ricostruire le proprie installazioni a partire da immagini Docker aggiornate, poiché un aggiornamento dell'interfaccia web da solo potrebbe non sostituire la vulnerabile libreria sottostante.

Rapina HEIF: una biblioteca, molte vittime

La catena OpenAI è nata da un'indagine più ampia che Hacktron chiama HEIF Heist, uno sforzo durato diversi mesi per tracciare libheif su piattaforme ampiamente utilizzate tra cui Slack, Meta, GitHub Enterprise, Ruby on Rails e framework Node.js come Next.js, Astro e Gatsby. L'avvertimento dell'azienda è schietto: qualsiasi applicazione che elabora immagini controllate dall'utente e accetta file .heic, .heif o .avif è probabilmente interessata da almeno qualche variante del problema, e una quantità sorprendente di software ampiamente utilizzato dipende da questa libreria di elaborazione delle immagini.

Per OpenAI, l'incidente è uno scomodo promemoria del fatto che il perimetro di sicurezza di un laboratorio di intelligenza artificiale di frontiera è forte quanto il suo componente più umile, in questo caso, un parser di immagini all'interno di un forum della comunità. Per tutti gli altri, la conclusione pratica è più semplice: patchare libheif, ricostruire le installazioni di Discourse da immagini aggiornate e presumere che chiunque stia sondando il vostro perimetro ora disponga dell'assistenza dell'intelligenza artificiale.

---

Rimani Aggiornato sull'IA

Le ultime notizie, analisi e scoperte sull'intelligenza artificiale — tutto in un posto.

Leggi altre notizie sull'IA →