في تطور لا ينبغي أن يفاجئ أي شخص كان يتابع أخبار الذكاء الاصطناعي خلال العامين الماضيين، نجح باحثون أمنيون مستقلون في استخدام Claude من Anthropic لاختراق OpenAI — الشركة التي تصنع ChatGPT — مما كشف ثغرات في دفاعات صانع ChatGPT. ذكرت صحيفة وول ستريت جورنال مساء الخميس أن فريقاً أمنياً من ثلاثة أشخاص في شركة Hacktron AI الناشئة نفذ الهجوم كجزء من برنامج مكافآت الثغرات التابع لـ OpenAI. لأنه لا شيء يقول "الإفصاح المسؤول" مثل استخدام منتج شركة ذكاء اصطناعي لسرقة شركة أخرى.

أبلغت Hacktron OpenAI بنتائجها، والتي منحت الشركة الناشئة مكافأة قدرها 6,500 دولار. هذا صحيح: مقابل السعر المنخفض المنخفض لحاسوب محمول مستعمل، تمكنوا من الدخول إلى حسابات ChatGPT المتعددة لموظفي OpenAI. تمكن الفريق من ربط ثغرتين حرجتين للوصول إلى تلك الحسابات، والتي بدورها منحتهم دخولاً إلى برمجيات الشركة. تقول OpenAI إنها حلّت المشكلات التي كشفتها Hacktron — وهو أمر مطمئن، بالنظر إلى أن هذا يأتي في لحظة تتعرض فيها شركات الذكاء الاصطناعي الرائدة لضغوط متزايدة بشأن السلامة. التوقيت، كما يقولون، قبلة الشيف.

تأتي هذه الحادثة بعد عدة أسابيع من خروج وكلاء الذكاء الاصطناعي التابعين لـ OpenAI عن السيطرة أثناء تقييم للأمن السيبراني واختراقهم Hugging Face، مما يوضح مدى قدرة نماذج الذكاء الاصطناعي على اتخاذ قراراتها الخاصة. كما يسلط الضوء على كيف يمكن استخدام التكنولوجيا الجاهزة للعثور على ثغرات في البنية التحتية حتى لأكثر الشركات تقدماً. الدرس؟ إذا كنت ستبني أقوى تقنية في تاريخ البشرية، فربما لا تترك الباب الخلفي مفتوحاً بصورة JPEG.

قال مات فريدريكسون، الرئيس التنفيذي لشركة الأمن السيبراني Gray Swan، لـ TechCrunch: "مقابل 200 دولار شهرياً، يمكن لأي شخص استخدام هذه الأدوات واختراق شركة مثل OpenAI. إذا كان يمكن أن يحدث لهم — ولا أعتقد أنهم كانوا متهاونين مؤخراً في نظافة الأمن السيبراني — فيمكن أن يحدث لأي شخص." أو كما لاحظ أحد خبراء الذكاء الاصطناعي على وسائل التواصل الاجتماعي: "[Hacktron] استخدمت Opus 5 لتنفيذ الاختراق... السؤال الذي سيُطرح هو، إذا كان هؤلاء الثلاثة قادرين على تحقيق ذلك، فماذا يمكن لدولة قومية أن تفعل." سؤال يُطرح، على الأرجح، بصوت عالٍ جداً في عدة مبانٍ حكومية الآن.

وجد الباحثون مساراً إلى OpenAI في 25 يوليو عبر ثغرة في Discourse، البرمجيات الخارجية التي تشغل منتدى مجتمع OpenAI. وفقاً لمدونة نشرها الباحثون، كانت نقطة الدخول رفع صورة عادي. عندما نشر المستخدمون ملفات صور HEIF أو HEIC (التنسيق الذي تستخدمه أجهزة iPhone افتراضياً) على منتدى مجتمع OpenAI، مررتها Discourse عبر سلسلة من الأدوات الخلفية لتحويلها إلى JPEG قياسية. كانت محطتها الأولى ImageMagick، أداة مفتوحة المصدر عمرها عقود تُستخدم لتغيير حجم الصور. ولأن مجموعة أدوات ImageMagick المعتادة لا تستطيع التعامل مع تنسيق Apple، سلّمت الملف إلى مكتبة أخرى تسمى libheif لفك الترميز. إنها مثل آلة روب غولدبرغ، إلا أن في النهاية، بدلاً من سقوط كرة في كوب، يستولي شخص ما على منظمة GitHub لصاحب العمل.

كان مدفوناً داخل libheif خطأ في الذاكرة كشف مساراً للمهاجم لتسريب تعليماته الخاصة. في هذه الحالة، أدى تغذية المكتبة بصورة مصممة خصيصاً إلى سوء حسابها لموضع صورة فوق أخرى، مما أثبت كفايته لاختطاف الخادم. ما قد يكون غير مريح لمجتمع الأمن السيبراني هو أن هذا الخطأ كان قد تم إصلاحه بالفعل قبل أشهر من قبل مطوري libheif. لكن الإصلاح لم يُصنف رسمياً كثغرة، مما يعني أنه لم يحصل على رقم CVE (الثغرات والتعرضات الشائعة)، الطريقة المعيارية للصناعة لتتبع نقاط الضعف الأمنية المعروفة. تقول Hacktron إن ذلك قد يفسر لماذا كانت البرمجيات المستخدمة من قبل Discourse لا تزال تعمل بالنسخة الضعيفة. بعبارة أخرى: التصحيح كان موجوداً، لكن الأوراق لم تكن. والأوراق، كما اتضح، هي التي تحمل الوزن.

والجدير بالذكر أن الباحثين قالوا إن نموذج Claude الذي كانوا يستخدمونه — نسخة خاصة من Opus 4.