ทีมนักวิจัยด้านความปลอดภัยได้เผยแพร่เรื่องราวโดยละเอียดเกี่ยวกับวิธีการเชื่อมโยงข้อบกพร่องของหน่วยความจำเสียหายในไลบรารีรูปภาพโอเพ่นซอร์สที่ใช้กันอย่างแพร่หลายด้วยการตั้งค่าการลงชื่อเพียงครั้งเดียวที่กำหนดค่าไม่ถูกต้องเพื่อเข้าถึงที่เก็บโค้ดภายในของ OpenAI การบุกรุกที่บริษัทแก้ไขในเวลาประมาณ 14 ชั่วโมงและรับทราบด้วยเงินรางวัล 6,500 ดอลลาร์

บทความนี้เผยแพร่โดยบริษัทรักษาความปลอดภัย Hacktron โดยกล่าวถึงเหตุการณ์ที่เกิดขึ้นตั้งแต่เดือนกรกฎาคม ปี 2026 เมื่อทีมงานเจาะระบบบัญชี ChatGPT ของพนักงาน OpenAI หลายคนผ่านฟอรัมชุมชนของบริษัท สัปดาห์นี้ได้รับความสนใจใหม่ในสัปดาห์นี้หลังจากการอภิปรายของ Hacker News เกี่ยวกับการวิจัยได้รวบรวมผู้โหวตหลายร้อยคน ดูการอ้างสิทธิ์ทางเทคนิคหลัก: Discourse ซึ่งเป็นซอฟต์แวร์ฟอรัมที่เกี่ยวข้องได้เผยแพร่คำแนะนำด้านความปลอดภัย — GHSA-vhm9-85gw-x335 ชื่อ "RCE ผ่านไฟล์ HEIF ที่มีรูปแบบไม่ถูกต้อง" ซึ่งอธิบายถึงช่องโหว่ที่ซ่อนอยู่ For more context on this story, see our ongoing AI trends.

The Chain: ฟอรัม, Image Parser และข้อบกพร่อง SSO

จากข้อมูลของ Hacktron จุดเริ่มต้นคือ community.openai.com ซึ่งเป็นฟอรัมที่ขับเคลื่อนโดย Discourse ซึ่งผู้ใช้พูดคุยเกี่ยวกับผลิตภัณฑ์ของ OpenAI ฟอรัมอนุญาตให้ "ลงชื่อเข้าใช้ด้วย OpenAI" ผ่านทางโครงสร้างพื้นฐานข้อมูลประจำตัวของบริษัท ซึ่งทำให้นักวิจัยมีเหตุผลที่เชื่อว่าการประนีประนอมในฟอรัมสามารถเปิดเส้นทางสู่บริการ OpenAI ในวงกว้างได้

ช่องโหว่แรกอยู่ในไปป์ไลน์การอัพโหลดรูปภาพของฟอรัม โดยปกติวาทกรรมจะคัดกรองการอัปโหลดด้วยไลบรารีชื่อ FastImage แต่ FastImage ไม่รองรับ HEIF ซึ่งเป็นรูปแบบภาพที่อยู่เบื้องหลังภาพถ่ายของ iPhone ดังนั้นไฟล์ HEIC และ HEIF จึงถูกส่งผ่านไปยังคำสั่ง magick ของ ImageMagick สำหรับการแปลงแทน ซึ่งเปิดเผยตัวแยกวิเคราะห์ libheif ที่ซ่อนอยู่โดยตรงไปยังไฟล์ที่ผู้โจมตีควบคุม

อิมเมจ Discourse Docker สร้างขึ้นบน Debian 12 ซึ่งจัดส่งเวอร์ชัน libheif — 1.19.7 — ซึ่งไม่มี backport การรักษาความปลอดภัยที่เกี่ยวข้อง Hacktron เขียน รหัสที่มีช่องโหว่ได้รับการเปลี่ยนแปลงในช่วงต้นปีที่แล้ว แต่การคอมมิตไม่เคยได้รับการบันทึกไว้ว่าเป็นการแก้ไขด้านความปลอดภัยและไม่ได้รับ CVE ซึ่งนักวิจัยแนะนำคือสาเหตุที่ Debian ไม่สามารถ backported ได้ทันเวลา แม้แต่ Debian 13 ก็ยังมีเวอร์ชันที่มีช่องโหว่ 1.19.8 ออกมา จนกระทั่ง Debian เผยแพร่การอัปเดตความปลอดภัยในวันที่ 8 สิงหาคม 2026

จุดอ่อนประการที่สองคือการกำหนดค่า SSO ไม่ถูกต้องในโครงสร้างพื้นฐานข้อมูลประจำตัวของ OpenAI ซึ่งรายละเอียดยังไม่ได้รับการเผยแพร่ เมื่อรวมเข้าด้วยกัน ข้อบกพร่องทั้งสองนี้หมายความว่า จนถึงประมาณสองเดือนที่แล้ว ผู้ใช้หรือพนักงาน OpenAI ที่เข้าสู่ระบบฟอรัมช่วยเหลือของบริษัท อาจถูกยึดบัญชี ChatGPT และ Codex ของตนได้

โดยที่ AI เข้าสู่รูปภาพ

สิ่งที่ทำให้การเปิดเผยข้อมูลมีความโดดเด่นสำหรับอุตสาหกรรม AI คือวิธีการค้นพบช่องโหว่ ทีมงาน — Harsh Jaiswal, Mohan Pedhapati และ Rahul Maini — เริ่มต้นเซสชันการเข้ารหัส AI ด้วยอิมเมจ Discourse Docker และขอให้ Claude Opus 4.8 จาก Anthropic ตรวจสอบแพ็คเกจ libheif ที่ติดตั้งเพื่อหาปัญหาด้านความปลอดภัย แบบจำลองระบุแบ็คพอร์ตการรักษาความปลอดภัยที่หายไป จากนั้นนักวิจัยได้ใช้ความช่วยเหลือจาก AI เพื่อพัฒนาช่องโหว่ในการรันโค้ดที่ใช้งานได้กับไลบรารีรูปภาพ

Hacktron ได้เริ่มค้นคว้าบริษัท AI ชายแดนโดยเฉพาะเพื่อค้นหาช่องโหว่ด้านความปลอดภัย ตามโพสต์ ตอนนี้เป็นการสาธิตสั้นๆ เกี่ยวกับแนวโน้มที่ทีมรักษาความปลอดภัยได้รับคำเตือน: ขณะนี้ระบบ AI มีประโยชน์มากพอที่จะบีบอัดการวิจัยช่องโหว่ที่ครั้งหนึ่งเคยใช้เวลาหลายสัปดาห์จนเหลือไม่กี่วัน Hacktron กล่าวว่าไทม์ไลน์ทั้งหมดตั้งแต่การค้นพบครั้งแรกไปจนถึงการเข้าถึงที่เก็บข้อมูลภายในของ OpenAI ใช้เวลาน้อยกว่า 72 ชั่วโมง

พิสูจน์การเข้าถึงโดยไม่ต้องใช้ความลับ

เมื่อวันที่ 25 กรกฎาคม ทีมงานกล่าวว่าได้ใช้ลูกโซ่เพื่อโจมตีบัญชี ChatGPT ของพนักงาน OpenAI หลายคน เนื่องจากพนักงานเชื่อมต่อบริการต่างๆ เช่น GitHub, Slack และส่งอีเมลไปยัง ChatGPT และ Codex นักวิจัยจึงเขียนว่ารัศมีการระเบิดตามทฤษฎีได้รวมพื้นที่เก็บข้อมูลภายในและเครื่องมือที่เชื่อมต่อไว้มากมาย

ทีมงานกล่าวว่าหลีกเลี่ยงการอ่านข้อมูลที่ละเอียดอ่อน เพื่อพิสูจน์การเข้าถึงโดยไม่แสวงหาประโยชน์ พวกเขาใช้อินสแตนซ์ Codex ของพนักงานเพื่อเปิดคำขอดึงที่ไม่เป็นอันตราย — หมายเลข 1186742 — ใน monorepo ภายในของ OpenAI ในพื้นที่เก็บข้อมูลที่เรียกว่า openai/openai ลิงก์ไปยังคำขอดึงนั้นถูกแก้ไขใหม่ในการเขียนตามคำขอของ OpenAI นักวิจัยได้แจ้งให้บริษัททราบโดยตรง และหยุดการทดสอบเพิ่มเติมทั้งหมดในบ่ายวันเดียวกัน

การแก้ไขที่รวดเร็ว ค่าหัวเล็กน้อย

Hacktron รายงานการค้นพบผ่านโปรแกรม Bug Bounty ของ OpenAI บน Bugcrowd และ Discourse ผ่าน HackerOne OpenAI ยืนยันการแก้ไขประมาณ 14 ชั่วโมงหลังจากการส่งครั้งแรก ตามการเขียน และจ่ายเงินรางวัล 6,500 ดอลลาร์ ในความคิดเห็นที่ Hacktron ยกมา OpenAI ตั้งข้อสังเกตว่าการทดสอบกับฟอรัมที่โฮสต์โดย Discourse นั้นถูกแยกออกจากขอบเขตของรางวัลข้อบกพร่องอย่างชัดเจน รางวัลดังกล่าวถือเป็นการยอมรับการค้นพบ SSO ฝั่ง OpenAI มากกว่าการประนีประนอมในฟอรัมเอง

วาทกรรมดำเนินไปอย่างรวดเร็วเช่นกัน: มีการแก้ไขภายในไม่กี่วัน และเพิ่มแซนด์บ็อกซ์การประมวลผลภาพเป็นการป้องกันในเชิงลึก โดยเผยแพร่คำแนะนำ GHSA-vhm9-85gw-x335 พร้อมแพตช์และสร้างคำแนะนำใหม่ บริษัทเตือนผู้ให้บริการที่โฮสต์ด้วยตนเองให้สร้างการติดตั้งใหม่จากอิมเมจ Docker ที่อัปเดต เนื่องจากการอัพเดตเว็บอินเทอร์เฟซเพียงอย่างเดียวอาจไม่สามารถแทนที่ไลบรารี่ที่มีช่องโหว่ได้

HEIF Heist: ห้องสมุดหนึ่งแห่ง เหยื่อมากมาย

เครือข่าย OpenAI เติบโตจากการสอบสวนที่กว้างขึ้นที่ Hacktron เรียกว่า HEIF Heist ซึ่งเป็นความพยายามหลายเดือนในการติดตาม libheif บนแพลตฟอร์มที่ใช้กันอย่างแพร่หลาย รวมถึง Slack, Meta, GitHub Enterprise, Ruby on Rails และเฟรมเวิร์ก Node.js เช่น Next.js, Astro และ Gatsby คำเตือนของบริษัทนั้นตรงไปตรงมา: แอปพลิเคชันใด ๆ ที่ประมวลผลภาพที่ควบคุมโดยผู้ใช้และยอมรับไฟล์ .heic, .heif หรือ .avif น่าจะได้รับผลกระทบจากปัญหาบางอย่างเป็นอย่างน้อย และซอฟต์แวร์ที่ใช้กันอย่างแพร่หลายจำนวนหนึ่งก็ขึ้นอยู่กับไลบรารีการประมวลผลรูปภาพนี้

สำหรับ OpenAI เหตุการณ์ดังกล่าวถือเป็นเครื่องเตือนใจที่น่าอึดอัดว่าขอบเขตความปลอดภัยของห้องปฏิบัติการ AI ชายแดนนั้นแข็งแกร่งพอ ๆ กับองค์ประกอบที่ต่ำต้อยที่สุดเท่านั้น ในกรณีนี้คือตัวแยกวิเคราะห์รูปภาพภายในฟอรัมชุมชน สำหรับคนอื่นๆ สิ่งที่นำไปใช้ได้จริงนั้นง่ายกว่า: แพตช์ libheif สร้างการติดตั้ง Discourse ใหม่จากอิมเมจที่อัปเดต และสมมติว่าใครก็ตามที่ตรวจสอบขอบเขตของคุณตอนนี้จะมีความช่วยเหลือจาก AI

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →