Claude 月费打穿 OpenAI：渗透专长被打到地板价

AI最早报
AI最早报

天下无仓

2026年9月19日 05:51
上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

三人小组用 Claude 打进 OpenAI：从一张 HEIF 图片上传，到员工账号被接管，整条链不到 72 小时。

Opus 4.8 做不出来，换成 Opus 5，几小时后交出可复现的 exploit。渗透这种过去最稀缺的专长，正在被一笔月费打到地板价。

00 · 三人小组，一条完整链条

Hacktron 是三人组：Harsh Jaiswal、Mohan Pedhapati、Rahul Maini。三人在 OpenAI 的 bug bounty 下工作，目标就是找出 OpenAI 基础设施里的真实漏洞，拿到赏金。

入口很普通，是 Discourse 论坛的 HEIF 图片上传。一张 HEIF 图片传上去，请求走到 ImageMagick，再走到 libheif 的解码过程，触发堆溢出，拿到 RCE。到这一步，还是传统漏洞挖掘的路子。

后面几步才是重点。拿到 RCE 之后，攻击者穿过 OpenAI 的 SSO 单点登录，接管了员工自己的 ChatGPT 和 Codex 会话。

再从 GitHub 连到 monorepo，提了一个看起来无害的 PR，编号 1186742。

从一张图片到 monorepo 里的一行代码，每一步都有记录，整条链走下来不到 72 小时。

Hacktron 博客：事件全链路

01 · 4.8 与 5 之间

同一个任务，Opus 4.8 失败了。不是差一点，是走不通。换成 Opus 5，几小时后产出可复现的 exploit，能从头跑到尾。

这是能不能走完全程的差距，不是快慢的差距。Pedhapati 的说法是，AI 降低了 exploit 的稀缺专长。过去，能独立走通一条完整利用链的人极少，是安全行业里最贵的一批人。现在，门槛从“这个人会不会”，变成“让模型跑多久、给多少算力”。

02 · 六千五百美元，和两百美元

事件发生在 2026-07-25，披露是 09-18，中间隔了将近两个月。09-01，OpenAI 给了 6500 美元赏金，但只认 OpenAI 这一侧，不认整条链。OpenAI 本身约 14 小时修好了 SSO 那个洞。

Gray Swan 的 CEO 说，月费 200 美元，就能打进 OpenAI。这不是夸张。200 美元买的是算力，算力买的是时间，时间足够模型把链条从头走到尾。渗透的边际成本，第一次降到一笔订阅费。

03 · 观察点

赏金只认 OpenAI 侧，不认整条链的价值。链条里真正的杠杆在 SSO 和 GitHub 那两跳，而这两跳不在任何 bounty 的计价表上。

计价是接下来的摩擦点。跨系统的链条，每一跳都落在不同公司的责任范围内，谁为“整条链”付钱，是下一个要回答的问题。

\\来源：\\

https://www.hacktron.ai/blog/hacking-openai

https://techcrunch.com/2026-09-18/researchers-used-anthropics-claude-to-hack-into-openai/

https://x.com/HacktronAI/status/2100795824812777893

https://heif-heist.com