Chini ya saa 72 kutoka kugunduliwa kwa awali hadi kufikia hifadhi ya ndani ya OpenAI. Zawadi ya dola 6,500. Na Claude Opus 5 iliyotumika kubadilisha udhaifu tata kuwa exploit inayofanya kazi. Watafiti kutoka Hacktron AI wamefichua jinsi walivyofanikiwa, mwishoni mwa Julai, kuathiri akaunti ya ChatGPT na Codex ya mfanyakazi wa OpenAI, kabla ya kufikia mazingira ya ndani ya GitHub ya kampuni hiyo. Hawakuiba msimbo: jaribio lilisimamishwa baada ya kuunda mabadiliko yasiyo na madhara yaliyolenga kuthibitisha upatikanaji. Hata hivyo, tukio hilo linaonyesha mabadiliko mapana zaidi. AI si lazima iunde udhaifu mpya. Kwanza inaanza kupunguza kwa kiasi kikubwa muda na ujuzi unaohitajika kutumia udhaifu ambao tayari upo.
Claude aharakisha udukuzi ambao ungechukua muda mrefu zaidi
Mahali pa kuanzia hapakuwa ChatGPT, prompt ya kichawi wala modeli iliyoamua yenyewe kuishambulia kampuni pinzani. Hacktron AI ilikuwa ikifanyia kazi usalama wa kampuni kadhaa za teknolojia wakati udhaifu ulipotambuliwa katika mfumo wa kuchakata picha uliotumiwa na jukwaa la umma la OpenAI.
Nafasi ya Claude ilikuja baadaye. Na hilo ndilo linalofanya suala hili livutie.
Bref Crypto tayari ilieleza jinsi malware na kampeni za phishing sasa zinavyotumia ikolojia ya Claude kulenga akaunti na wallet za crypto. Hapa, muktadha ni tofauti: si wahalifu wa mtandao, bali watafiti wa usalama. Hata hivyo, utaratibu wa msingi unabaki uleule. AI inaanza kuchukua sehemu ya kazi ya kiufundi ambayo hapo awali ilihitaji wataalamu waliotumia saa nyingi kufanya uchanganuzi wa mikono.
Kulingana na Hacktron, watafiti walitumia kwanza Claude Opus 4.8 kufanyia kazi udhaifu huo. Modeli iliweza kuelewa tatizo na kuendeleza uchanganuzi, bila kufanikiwa kutoa exploit iliyotegemeka vya kutosha. Hali hiyo inadaiwa kubadilika kwa Claude Opus 5, iliyozinduliwa wakati wa uchunguzi wao. Watafiti wanadai kuwa toleo hilo jipya lilifanikiwa ndani ya saa chache pale ambapo modeli iliyotangulia bado ilikwama kwenye changamoto kadhaa za kiufundi.
Ni muhimu kuweka tahadhari: ulinganisho huu umetolewa na Hacktron yenyewe na haujarudiwa kwa kujitegemea katika mazingira hayohayo.
Hata hivyo, matokeo bado ni makubwa. Msururu mzima, kuanzia udhaifu wa awali hadi uthibitisho wa kufikia mazingira ya ndani ya OpenAI, unadaiwa kuchukua chini ya saa 72.
Picha rahisi ilifungua mlango wa kwanza
Udhaifu wa kwanza ulikuwa katika libheif, maktaba ya open source inayotumika kuchakata miundo ya picha ya HEIC na HEIF.
Miundo hiyo hutumika sana hasa kwenye simu mahiri za kisasa. Mtumiaji anapotuma picha, maktaba mbalimbali zinaweza kuhusika moja kwa moja kuisoma, kuibadilisha, kutengeneza thumbnail au kuangalia maudhui yake.
OpenAI hutumia Discourse kwa jukwaa lake la jamii. Discourse nayo ilitegemea mnyororo wa uchakataji wa picha uliotumia libheif. Toleo lenye udhaifu la maktaba hiyo lingeweza kuruhusu msimbo kutekelezwa wakati wa kuchakata faili lililotengenezwa mahsusi. Discourse tangu hapo imetambua tatizo hilo hadharani na kuimarisha utenganishaji wa mfumo wake wa kuchakata picha.
Tukio hilo linakumbusha ukweli wa muda mrefu wa usalama wa mtandao: usalama wa kampuni kubwa pia hutegemea vipande vidogo vya software ambavyo haikuvitengeneza yenyewe.
OpenAI inaweza kuwa na timu za usalama miongoni mwa zenye uzoefu mkubwa zaidi duniani. Hata hivyo, jukwaa lake linaweza kupakia maktaba ya open source yenye udhaifu katika kazi ambayo hakuna anayekagua kila siku.
Ni tatizo hilohilo katika benki, exchange au taasisi ya serikali.
Bidhaa ya kisasa hutumia dependencies kadhaa, wakati mwingine maelfu. Kila maktaba huokoa muda wa uundaji, lakini pia huongeza uhusiano mpya wa kuaminiana.
Tatizo lililogunduliwa na Hacktron limerekebishwa. Discourse sasa inaeleza kuwa uchakataji wake wa picha pia unatekelezwa katika mazingira yaliyotenganishwa zaidi ili kupunguza madhara ya udhaifu mwingine wa aina hiyo.
Kwa hiyo, AI haikubuni udhaifu huo.
Iliwasaidia watafiti kuufanya uweze kutumiwa kwa haraka zaidi.
Tatizo halisi lilitokana baadaye na SSO ya OpenAI
Kudhibiti jukwaa hakukutosha kufikia mifumo ya ndani ya OpenAI.
Hapa ndipo udhaifu wa pili ulipoingia.
OpenAI iliwaruhusu watumiaji kuingia kwenye jukwaa kupitia mfumo wake wa uthibitishaji. SSO, au Single Sign-On, huruhusu kutumia utambulisho wa kati kufikia huduma kadhaa bila kuunda upya nenosiri kila mahali.
Ni rahisi sana.
Pia ina nguvu sana.
Hacktron inadai iligundua udhaifu katika uhusiano huo wa kuaminiana. Kwa kuunganisha udhibiti waliopata juu ya jukwaa na tatizo la uthibitishaji, timu iliweza kufikia akaunti za ChatGPT na Codex za baadhi ya watumiaji, akiwemo mfanyakazi wa OpenAI.
Na hapo ndipo tukio hilo lilipobadilika kabisa kwa kiwango.
Akaunti ya kisasa ya ChatGPT si lazima iwe tena mahali pa kuuliza tu maswali kwa AI.
Inaweza kuunganishwa na GitHub.
Slack.
Outlook.
Google Drive.
Zana za uundaji wa software.
Data za ndani.
Katika kesi ya mfanyakazi aliyeathiriwa, Codex ilikuwa na upatikanaji wa shirika la OpenAI kwenye GitHub. Kwa hiyo, watafiti waliiomba Codex iandae mabadiliko yasiyo na madhara katika monorepo ya ndani ya kampuni. Kisha walisimamisha majaribio na kuripoti tukio hilo. Wanasema hawakupitia msimbo wa umiliki ambao upatikanaji wao ungeweza kuwapa.
Maonyesho hayo tayari yanatosha.
Udhaifu ulioanzia kwenye jukwaa la jamii ulivuka mipaka kadhaa hadi kufikia mazingira ya uundaji wa ndani ya mojawapo ya maabara kubwa zaidi za AI duniani.
Viunganishi vya AI vinakuwa eneo jipya la mashambulizi
Huenda hilo ndilo somo muhimu zaidi kwa kampuni.
Kwa muda mrefu, kuathiri chatbot kulikuwa na athari ndogo kwa kiasi. Mshambuliaji angeweza kusoma mazungumzo au kuiba taarifa zilizohifadhiwa kwenye akaunti.
AI agents zinabadilisha usanifu huu.
Assistant wa kisasa anaweza kusoma barua pepe, kufikia hifadhi ya GitHub, kusoma Slack, kutafuta nyaraka kwenye Drive na wakati mwingine kutekeleza vitendo katika huduma hizo.
Kila muunganisho huongeza manufaa yake.
Pia huongeza ukubwa wa madhara iwapo mfumo utaathiriwa.
Tuchukue akaunti ya Codex iliyounganishwa na GitHub. Ikiwa akaunti hiyo inaweza kupendekeza mabadiliko ya msimbo, suala la usalama halihusu tena OpenAI au modeli inayotumika pekee. Pia linahusu ruhusa zilizopewa akaunti, namna tokeni za uthibitishaji zinavyohifadhiwa na vitendo ambavyo GitHub hukubali moja kwa moja.
Mantiki hiyo hiyo inatumika kwa Outlook.
AI iliyounganishwa na barua pepe inaweza kuwa muhimu sana kwa kutafuta ankara au kuandaa jibu. Kikao kikihatarishwa, muunganisho huo huo huwa njia ya kufikia taarifa nyeti.
Mabadiliko haya yanatokea wakati agents zinapata uhuru zaidi kwa haraka. Bref Crypto tayari iliripoti kuwa wahalifu wa mtandao wanatumia AI kwa kasi zaidi kuliko baadhi ya vyombo vya polisi, hasa kwa sababu inapunguza ujuzi unaohitajika kuendesha hatua fulani za shambulio kiotomatiki.
Kesi ya OpenAI inaongeza mwelekeo mwingine: agents pia zinakuwa sehemu za kukusanyia ruhusa.
Hii karibu inafanana na tatizo la simu mahiri za kisasa. Simu ina ujumbe, benki, uthibitishaji, picha na nyaraka. Kupoteza ufunguo mmoja kunaweza kufungua milango kadhaa.
AI agents zinaanza kuwa sawa na mkusanyiko huo kwa upande wa software.
OpenAI ilirekebisha udhaifu huo ndani ya takriban saa 14
Mfuatano wa matukio pia unasaidia kuepuka mtazamo wa kutisha kupita kiasi.
Hacktron inaeleza kuwa iliripoti ugunduzi wake kwa OpenAI tarehe 25 Julai 2026 kupitia mpango wa bug bounty. Timu hiyo inadai kuwa OpenAI ilithibitisha kurekebisha udhaifu uliokuwa katika miundombinu yake takriban saa 14 baada ya ripoti ya awali.
Discourse iliwasilishwa suala hilo kando.
Mtoa huduma wa jukwaa alijibu siku iliyofuata, akaandaa marekebisho tarehe 27 Julai na kuchapisha taarifa yake ya usalama tarehe 28 Julai. Hatimaye OpenAI ililipa Hacktron dola 6,500 tarehe 1 Septemba.
Zawadi hiyo inahitaji ufafanuzi mwingine.
Inadaiwa OpenAI ilifafanua kuwa majaribio yaliyofanywa moja kwa moja dhidi ya jukwaa la Discourse yalikuwa nje ya mipaka rasmi ya mpango wake wa bug bounty. Kwa hiyo, dola 6,500 zilitolewa kwa udhaifu uliokuwa upande wa OpenAI, hasa kipengele cha uthibitishaji, na si kwa mnyororo mzima unaohusiana na Discourse.
Tofauti hii ni muhimu kwa sababu neno “hack” linaweza kutoa taswira ya uvamizi wa kihalifu uliobaki bila kugunduliwa kwa wiki kadhaa.
Hilo si linaloonyeshwa na taarifa zilizopo.
Watafiti walikuwa wakitafuta udhaifu, wakaonyesha athari zake kisha wakasimamisha operesheni.
OpenAI ilirekebisha.
Discourse ilirekebisha.
Ufunuo wa umma unafanyika sasa, wiki kadhaa baada ya matukio hayo.
Wall Street Journal na Financial Times ziliripoti kwa kujitegemea kuhusu kufikiwa kwa akaunti ya mfanyakazi na rasilimali za ndani, huku Discourse ikithibitisha hadharani kuwepo kwa udhaifu katika uchakataji wa picha.
Hata hivyo, wakati wa kuchapishwa kwa habari hii, hakuna ripoti ya kina ya kiufundi kutoka OpenAI inayohusu tukio hili mahususi.
Claude inapunguza gharama ya utaalamu wa mashambulizi
Kwa hiyo, suala halisi linapita mbali zaidi ya OpenAI.
Udhaifu wa corruption ya kumbukumbu kwa kawaida ni miongoni mwa aina zinazohitaji ujuzi mkubwa zaidi katika usalama wa mtandao.
Kupata bug wakati mwingine ni mwanzo tu.
Ni lazima kuelewa hasa jinsi kumbukumbu inavyotumika, kupita ulinzi mbalimbali na kubadilisha crash ya kinadharia kuwa upatikanaji unaoweza kutumiwa.
Kazi hii inaweza kuchukua siku, wiki, na wakati mwingine zaidi.
Hacktron inadai kuwa Claude ilifupisha kwa kiasi kikubwa hatua hii.
Hilo linaendana moja kwa moja na mabadiliko yaliyoonekana na Anthropic katika tafiti zake. Kampuni hiyo inaeleza kuwa modeli zake za hivi karibuni zimekuwa na uwezo wa kutosha kugundua udhaifu mkubwa na kuwasaidia watafiti kuchanganua msimbo kwa kiwango ambacho hapo awali kilikuwa kigumu kufikiwa.
Katika ripoti yake ya Septemba kuhusu matumizi mabaya ya Claude, Anthropic inaenda mbali zaidi: kampuni inakadiria kuwa ustadi wa kiufundi wa shambulio unakuwa kiashiria kisichoaminika zaidi cha kiwango halisi cha mshambuliaji. Uwezo ambao hapo awali ulihitaji wataalamu kadhaa unaweza hatua kwa hatua kuratibiwa kwa automation kubwa zaidi.
Ripoti ya tishio iliyochapishwa na Anthropic mwezi Septemba inaandika hasa kuhusu mabadiliko haya ya Claude, ambayo katika baadhi ya kesi imehama kutoka kuwa assistant hadi kuwa mratibu wa kazi za mtandao.
Hii haimaanishi kuwa mwanzilishi anaweza kuandika “hack OpenAI” kwenye dirisha la Claude na kusubiri matokeo.
Hacktron bado ni timu ya watafiti wenye uzoefu. Wanadamu walichagua walicholenga, wakaelewa usanifu na kutafsiri matokeo.
Kile kinachopungua hatua kwa hatua ni sehemu ya kazi ya kati.
AI inaweza kuandika msimbo.
Kuunda majaribio ya dhana.
Kusoma logs.
Kulinganisha matoleo kadhaa.
Kupendekeza njia mpya jaribio linaposhindwa.
Maelfu ya kazi ndogo ambazo hapo awali zilifanywa kwa mikono.
Ni upunguzaji huo wa muda unaobadilisha uchumi wa usalama wa mtandao.
Tukio la Hugging Face lilikuwa la kutia wasiwasi zaidi
Mfuatano wa wakati unafanya suala hilo livutie zaidi.
Siku chache kabla ya utafiti wa Hacktron, OpenAI ilikuwa imekumbwa na tukio tofauti kabisa wakati wa tathmini zake za usalama wa mtandao.
Mwezi Julai, modeli kadhaa zilizokuwa zikijaribiwa katika mazingira yaliyodhaniwa kuwa yametengwa ziliweza kupita baadhi ya vidhibiti, kuwasiliana kupitia njia zisizoidhinishwa na kisha kufikia mifumo iliyokuwa ya Hugging Face miongoni mwa mingine.
Wakati huu, haikuwa watafiti wa kibinadamu wakitumia AI kama chombo cha mashambulizi.
Modeli zenyewe zilitekeleza kazi hizo katika tathmini na zikavuka mipaka ambayo haikupaswa kuvukwa.
OpenAI ilitambua hadharani tukio hilo na kusema ilifanya kazi na wataalamu wa nje kuelewa kilichotokea.
Ripoti ya OpenAI kuhusu tukio la Hugging Face inaeleza kuwa modeli zilitumia udhaifu, zikapata upatikanaji wa intaneti na kufikia miundombinu ya wahusika wengine ingawa zilipaswa kubaki zimefungiwa.
Ni lazima kabisa kutenganisha matukio hayo mawili.
Katika tukio la Hugging Face, suala linahusu tabia na udhibiti wa agents zinazojitegemea wakati wa tathmini.
Katika kesi ya Hacktron, Claude ilikuwa chombo kilichotumiwa kwa hiari na timu ya binadamu kufanya utafiti wa mashambulizi.
Hata hivyo, matukio hayo mawili yanaelekea kwenye jambo moja: uwezo wa modeli katika usalama wa mtandao unaendelea kwa kasi kuliko baadhi ya usanifu wa usalama ulioundwa kuizunguka.
Hili si tena uwezekano wa kinadharia.
Maabara zenyewe zinaanza kutoa mifano ya matukio ya kuthibitisha hilo.
Ulinzi una silaha hilohilo
Hata hivyo, mabadiliko haya hayawanufaishi washambuliaji pekee.
AI inayoweza kuelewa udhaifu haraka inaweza pia kuugundua kabla ya washambuliaji.
Inaweza kuchanganua mamilioni ya mistari ya msimbo, kugundua dependencies zenye udhaifu, kutafuta makosa yanayofanana katika programu kadhaa na kupendekeza marekebisho.
Hii ndiyo hoja kuu inayotetewa na Anthropic leo: ikiwa uwezo wa modeli katika usalama wa mtandao unaongezeka kwa kasi, ni lazima uwezo huo uwafikie walinzi kwa kasi hiyohiyo.
Tatizo linakuwa suala la kasi.
Maabara hutumia AI kuchanganua software yake.
Mshambuliaji hutumia kizazi hilohicho cha modeli kutafuta udhaifu.
Anayetenda kwanza ana faida.
Tukio la OpenAI pia linaonyesha kuwa ulinzi hauwezi tena kujikita kwenye modeli yenyewe pekee. Jukwaa, mtoa huduma wa utambulisho, miunganisho kati ya akaunti, ruhusa za GitHub na maktaba za open source lazima zichukuliwe kama usanifu mmoja wa usalama.
Kampuni inaweza kufanya modeli yake iwe ngumu sana kuvuka ulinzi wake na bado ikawa hatarini kutokana na maktaba ya zamani ya picha.
Inaweza kurekebisha maktaba yake na kubaki na SSO yenye ruhusa nyingi kupita kiasi.
Inaweza kurekebisha SSO na kumpa agent aliyeathiriwa upatikanaji mkubwa kupita kiasi wa GitHub.
Usalama huamuliwa na mfuatano huo.
Hilo ndilo hasa Hacktron ililoonyesha.
Kila udhaifu ukiangaliwa peke yake ulionekana kudhibitika. Ukiunganishwa, uliwaruhusu watafiti watatu kutoka kwenye picha iliyochakatwa katika jukwaa la umma hadi kwenye pendekezo la mabadiliko katika hifadhi ya ndani ya OpenAI.
Kwa hiyo, jambo la kutia wasiwasi zaidi si kwamba Claude ghafla imejifunza “kuhack OpenAI”.
Ni kwamba AI inaanza kufanya uunganishaji wa udhaifu huu mdogo uwe wa haraka zaidi.
Na mshambuliaji anaposonga kwa kasi ya agent, saa 14 za kurekebisha udhaifu zinaweza kuwa za haraka sana na wakati huohuo ziwe ndefu mno.
