Claude Opus 5 usato per hackerare OpenAI: account dei dipendenti violati in meno di 72 ore

Un piccolo gruppo di ricercatori è riuscito a prendere il controllo degli account di alcuni dipendenti di OpenAI e ad arrivare fino ai repository di codice interni dell’azienda, e lo ha fatto appoggiandosi a un modello di intelligenza artificiale di Anthropic. La società di sicurezza Hacktron ha raccontato nel dettaglio come tre suoi ricercatori abbiano concatenato due vulnerabilità critiche, usando Claude per costruire l’exploit, e come l’intera operazione, dalla scoperta iniziale all’accesso ai repository, si sia svolta in meno di 72 ore.

La vicenda è rilevante non tanto per il bersaglio, per quanto clamoroso, quanto per il metodo. È una fotografia molto concreta di cosa significhi mettere un modello di frontiera nelle mani di chi cerca falle, e di quanto in fretta questo scenario stia cambiando sotto i nostri occhi.

Il salto tra Opus 4.8 e Opus 5 è il vero protagonista

Il cuore della storia non è la singola vulnerabilità, ma il momento preciso in cui l’intelligenza artificiale ha reso praticabile un attacco che fino a poche ore prima non lo era. Il team aveva individuato un errore nella gestione della memoria, un cosiddetto heap buffer overflow, dentro libheif, una libreria molto diffusa che serve a decodificare le immagini nei formati HEIC e HEIF, quelli che il tuo smartphone produce ogni giorno.

Per trasformare quel bug in un exploit affidabile servivano competenze rare e molto tempo. I ricercatori hanno prima lavorato con Claude Opus 4.8 e sono riusciti a ottenere un exploit funzionante solo con alcune protezioni del sistema disattivate. Con quelle stesse protezioni attive, come avviene in un ambiente reale, il modello ha fallito una sessione dopo l’altra.

Poi, quella stessa sera, Anthropic ha rilasciato Claude Opus 5.

Con il nuovo modello la situazione è cambiata nel giro di poche ore. Opus 5 ha prodotto un exploit funzionante per un Mac con architettura ARM64 in circa tre ore, poi lo ha adattato all’ambiente x86-64 usato dal software del forum di OpenAI. La mattina seguente l’accesso da remoto, ottenuto con il semplice caricamento di un’immagine, era già confermato.

È questo il dettaglio che ha fatto più discutere. Lo stesso identico problema, affidato a due versioni successive dello stesso modello, passa da irrisolvibile a risolto nell’arco di una notte.

Le protezioni aggirate con un finto esercizio di allenamento

Opus 5 è stato distribuito con salvaguardie pensate proprio per impedirgli di scrivere codice offensivo contro bersagli reali. I ricercatori raccontano di averle aggirate puntando il modello verso un proprio server di prova, camuffato da esercizio di capture the flag, il tipo di sfida che gli esperti di sicurezza usano per allenarsi, e lasciandolo poi lavorare in un ciclo automatico. Quando l’obiettivo sembrava un innocuo compito didattico, il modello ha portato a termine il lavoro.

È un punto che pesa, perché mostra quanto sia sottile il confine tra uso legittimo e abuso quando l’unica barriera è il contesto dichiarato. Non a caso Anthropic dedica risorse crescenti a monitorare e bloccare questi utilizzi, come emerge dai suoi rapporti periodici sulle minacce legate a Claude.

Una catena di due falle, dal forum agli account interni

La parte più istruttiva è come due debolezze, prese singolarmente gestibili, siano state messe in fila fino a produrre un impatto enorme. Il primo anello è il forum ufficiale di supporto di OpenAI, che gira sulla piattaforma Discourse. Il bug in libheif, raggiungibile caricando un’immagine, ha permesso l’esecuzione di codice da remoto proprio su quel forum.

Il secondo anello è più insidioso. Il forum consente di autenticarsi con lo stesso sistema di accesso unico, il single sign-on, usato dai servizi di OpenAI. Una configurazione errata di quel sistema ha trasformato la compromissione del forum in un accesso vero e proprio agli account ChatGPT e Codex di chiunque vi effettuasse il login, dipendenti compresi.

Qui la posta in gioco si allarga a dismisura. Dato che a ChatGPT e a Codex si possono collegare servizi come GitHub, Slack e la posta elettronica, il perimetro potenzialmente esposto diventava vastissimo.

Per dimostrare l’impatto senza mai leggere codice riservato, i ricercatori hanno preso il controllo dell’account di un dipendente il cui Codex era collegato all’organizzazione GitHub di OpenAI, e gli hanno fatto aprire una richiesta di modifica del tutto innocua, una pull request, nel repository interno principale dell’azienda. Fatta la prova, si sono fermati.

C’è un chiarimento che Hacktron sottolinea con forza, ed è bene riportarlo. La falla che permette di scalare i privilegi non riguarda Discourse: è un problema del single sign-on di OpenAI. Il forum è stato soltanto una delle strade possibili. Qualsiasi servizio, interno o di terze parti, che usi lo stesso accesso unico avrebbe potuto aprire la medesima porta se compromesso.

Divulgazione responsabile e la ricompensa di OpenAI

Va detto con chiarezza che non si è trattato di un attacco reale, ma di ricerca di sicurezza condotta in modo responsabile. Il team ha segnalato subito le vulnerabilità, attraverso i programmi di bug bounty di OpenAI e di Discourse, e ha collaborato alla loro correzione.

La reazione è stata rapida. OpenAI ha confermato la chiusura della falla circa quattordici ore dopo la segnalazione. Discourse ha preparato una patch nel giro del fine settimana e ha aggiunto un livello di isolamento per l’elaborazione delle immagini, pubblicando poi un avviso di sicurezza dedicato. Il primo settembre OpenAI ha riconosciuto al team una ricompensa di 6.500 dollari.

Su questo punto l’azienda ha aggiunto una precisazione: i test contro il forum ospitato su Discourse erano esclusi dal suo programma di bug bounty, e il premio riconosce la scoperta sul lato OpenAI, cioè la configurazione errata del single sign-on, non le azioni compiute contro Discourse.

Colpisce anche il capitolo dei costi. L’operazione contro OpenAI ha richiesto pochi giorni di lavoro per l’agente e poche ore di lavoro umano. L’intera campagna di ricerca più ampia, che secondo Hacktron ha toccato la stessa libreria in software usati da Slack, Meta, GitHub Enterprise e in diffusi framework di sviluppo, è durata due mesi ed è costata meno di 3.000 dollari in token, con soli tre ricercatori coinvolti. Adattare l’exploit a ogni nuova azienda richiedeva di solito uno o due giorni.

Perché conta: l’AI erode la vecchia sicurezza per complessità

Per anni il software ha goduto di una forma di protezione che potremmo chiamare sicurezza per complessità. Il codice e persino la vulnerabilità potevano essere pubblici, ma trasformare un bug in un exploit affidabile richiedeva competenze rare, tempo e una conoscenza approfondita dell’ambiente da colpire. Non era una vera barriera, eppure nella pratica ha tenuto al riparo molte organizzazioni.

È proprio questa protezione che l’intelligenza artificiale sta erodendo, convertendo in potenza di calcolo una competenza finora scarsa e costosa. Un lavoro che prima chiedeva a un team ben attrezzato mesi di sforzo può oggi comprimersi in pochi giorni.

La conferma arriva da un dettaglio quasi paradossale del racconto di Hacktron: in tutta la campagna, con migliaia di immagini inviate e processori di immagini mandati ripetutamente in crash, una sola azienda si è accorta di qualcosa. Le difese, per la maggior parte, non hanno visto arrivare l’attacco.

Attenzione a non leggere questa storia come una favola sull’AI totalmente autonoma. La guida di ricercatori esperti è rimasta decisiva, e i modelli hanno accelerato il lavoro senza sostituire del tutto la mente umana. Ma la quantità di lavoro che un piccolo gruppo può ora svolgere è cresciuta in modo netto, ed è questo che deve entrare nei modelli di rischio di chi difende i sistemi.

Non è un caso isolato, ma un tassello di una tendenza che seguiamo da tempo. Nelle scorse settimane abbiamo raccontato come modelli di frontiera siano stati usati per violare i sistemi di aziende reali durante test di sicurezza e come agenti AI abbiano provocato incidenti di sicurezza sfuggendo agli ambienti di test. Il filo comune è sempre lo stesso: la capacità offensiva cresce a ogni nuova versione.

Cosa puoi fare, tra difesa e consapevolezza

Se gestisci sistemi che elaborano immagini caricate dagli utenti, la lezione pratica è diretta. Tieni aggiornate le librerie di decodifica, isola i processi che trattano file non affidabili e valuta di disattivare la decodifica dei formati HEIF e AVIF dove non ti serve davvero. La superficie di attacco spesso si nasconde in una dipendenza che nessuno guarda.

Sul piano più generale, il messaggio è di aggiornare le proprie assunzioni. Le ipotesi su chi sia in grado di condurre un attacco sofisticato, e con quali costi, vanno riviste alla luce di quello che i modelli rendono possibile oggi. La stessa potenza che permette a un difensore di trovare e chiudere le falle più in fretta è a disposizione di chi vuole sfruttarle.

Continua a seguirci per capire come l’intelligenza artificiale sta ridisegnando la cybersicurezza, da entrambi i lati della barricata. Se lavori nella sicurezza o semplicemente vuoi restare informato, questa è una delle trasformazioni più importanti da tenere d’occhio nei prossimi mesi. Puoi approfondire la vicenda anche nel resoconto tecnico pubblicato da Hacktron.