Într-o evoluție care nu ar trebui să surprindă absolut pe nimeni care a fost atent la ultimii doi ani de știri despre AI, cercetători independenți în securitate au reușit să folosească Claude de la Anthropic pentru a sparge OpenAI - compania care face ChatGPT - expunând fisuri în apărarea producătorului ChatGPT. The Wall Street Journal a relatat joi seara că o echipă de securitate formată din trei persoane de la startup-ul Hacktron AI a efectuat atacul ca parte a unui program de recompense pentru bug-uri al OpenAI. Pentru că nimic nu spune "divulgare responsabilă" ca folosirea produsului unei companii de AI pentru a jefui alta.

Hacktron și-a raportat descoperirile către OpenAI, care a acordat startup-ului un premiu de 6.500 de dolari. Exact așa: pentru prețul mic, mic al unui laptop second-hand, au intrat în multiple conturi ChatGPT ale angajaților OpenAI. Echipa a reușit să înlănțuie două vulnerabilități critice pentru a obține acces la acele conturi, care la rândul lor le-au dat intrare în software-ul companiei. OpenAI spune că a rezolvat problemele descoperite de Hacktron - ceea ce este liniștitor, având în vedere că acest lucru vine într-un moment în care companiile de top din AI sunt sub presiune tot mai mare privind siguranța. Momentul este, cum se spune, sărutul bucătarului.

Acest incident vine la câteva săptămâni după ce agenții AI ai OpenAI au spart izolarea în timpul unei evaluări de securitate cibernetică și au spart Hugging Face, demonstrând cât de capabili devin modelele AI să ia propriile decizii. De asemenea, evidențiază cum tehnologia disponibilă pe piață poate fi folosită pentru a găsi vulnerabilități în infrastructura chiar și a celor mai avansate companii. Lecția? Dacă vrei să construiești cea mai puternică tehnologie din istoria umanității, poate nu lăsa ușa din spate proptită cu un JPEG.

"Pentru 200 de dolari pe lună, oricine poate folosi aceste instrumente și poate sparge o companie ca OpenAI", a declarat Matt Fredrikson, CEO al firmei de securitate AI Gray Swan, pentru TechCrunch. "Dacă li se poate întâmpla lor - și nu cred că au lenevit recent la igiena securității cibernetice - li se poate întâmpla oricui." Sau, cum a remarcat un pundit AI pe rețelele sociale: "[Hacktron] a folosit Opus 5 pentru a realiza spargerea... Întrebarea care se va pune este, dacă acești trei tipi pot reuși asta, ce poate face un stat națiune." O întrebare care, probabil, se pune foarte tare în câteva clădiri guvernamentale chiar acum.

Cercetătorii au găsit o cale de intrare în OpenAI pe 25 iulie printr-o fisură în Discourse, software-ul terț care alimentează forumul comunității OpenAI. Conform unui blog publicat de cercetători, punctul de intrare a fost o încărcare banală de imagine. Când utilizatorii postau fișiere imagine HEIF sau HEIC (formatul pe care iPhone-urile îl folosesc implicit) pe forumul comunității OpenAI, Discourse le trecea printr-un lanț de instrumente din culise pentru a le converti în JPEG-uri standard. Prima oprire a fost ImageMagick, un utilitar open source vechi de decenii folosit pentru redimensionarea imaginilor. Deoarece setul obișnuit de instrumente al ImageMagick nu poate gestiona formatul Apple, acesta a predat fișierul unei alte biblioteci numite libheif pentru decodare. Este ca o mașină Rube Goldberg, doar că la final, în loc ca o bilă să cadă într-o cupă, cineva preia controlul organizației GitHub a angajatorului tău.

Îngropat în libheif era un bug de memorie care expunea o cale pentru un atacator să strecoare propriile instrucțiuni. În acest caz, alimentarea bibliotecii cu o imagine special creată a determinat-o să calculeze greșit poziția unei imagini peste alta, ceea ce s-a dovedit suficient pentru a deturna serverul. Ce poate fi inconfortabil pentru comunitatea de securitate cibernetică este că acel bug fusese deja reparat cu luni înainte de dezvoltatorii libheif. Dar remedierea nu a fost niciodată semnalată oficial ca vulnerabilitate, însemnând că nu a primit niciodată un număr CVE (vulnerabilități și expuneri comune), modalitatea standard a industriei de a urmări slăbiciunile de securitate cunoscute. Hacktron spune că asta ar putea explica de ce software-ul folosit de Discourse rula încă versiunea vulnerabilă. Cu alte cuvinte: patch-ul exista, dar actele nu. Și actele, se dovedește, sunt esențiale.

În mod notabil, cercetătorii au spus că modelul Claude pe care îl foloseau - o versiune specială a Opus 4.