Hacktron利用OpenAI论坛HEIF缓冲区溢出漏洞并控制ChatGPT账户

Hacktron，一家安全公司，披露其在 OpenAI 的漏洞奖励计划中，在不到 72 小时内完成了漏洞调查。如此快速的时间线凸显了问题的紧迫性以及协同披露流程的高效性。

通过社区论坛的入口点

最初的入侵向量来源于 OpenAI 的社区论坛，该论坛基于 Discourse 平台搭建。该论坛使用了易受攻击的 libheif 库版本来处理 HEIC 和 HEIF 图像格式，从而为利用提供了表面。

具体缺陷被标识为 CVE-2026-32882，即 libheif 中的缓冲区溢出漏洞。该漏洞的 CVSS 评分为 8.8，表明其严重程度高，并且在上传经过精心构造的图像到论坛时可实现远程代码执行。

利用 AI 模型进行漏洞开发

为了将漏洞利用适配到服务器的架构，研究人员首先使用了 Claude Opus 4.8。该模型帮助生成了针对 ARM64 环境的初始负载。随后使用 Claude Opus 5 对利用代码进行细化，以适配 x86‑64 架构，展示了生成式 AI 如何加速攻击适配阶段。

AI 辅助的工作流并未消除人工分析的需求。研究人员仍需解读模型输出、验证负载并将其与手动测试步骤结合，这凸显了专家监督的持续重要性。

通过单点登录弱点进行升级

在攻破论坛服务器后，团队发现了将论坛与其他 OpenAI 服务关联的单点登录（SSO）机制中的弱点。利用该 SSO 漏洞，他们能够控制多个属于 OpenAI 员工的 ChatGPT 账户。

其中一个被攻陷的账户与 Codex 关联，并拥有 OpenAI GitHub 组织的权限。该关联使攻击者能够提交一个无害的 pull‑request，而无需读取内部源代码，展示了一条依赖凭证链而非直接代码访问的横向移动路径。

• 论坛使用了易受攻击的 libheif 版本
• CVE‑2026‑32882，CVSS 为 8.8
• AI 辅助的 ARM64 与 x86‑64 负载生成
• SSO 弱点导致对员工 ChatGPT 账户的控制
• 通过 Codex 关联的 GitHub 访问提交无害的 pull request

从最初的图像上传到 SSO 利用再到 GitHub 交互的整个行动序列，展示了一个多阶段攻击链，每一步都构建在前一步之上，放大了原始缓冲区溢出的影响。

Hacktron 于 7 月 25 日向 OpenAI 报告了该漏洞。OpenAI 在约十四小时后确认报告并部署了修复，显示出快速的补救行动。

该事件于 9 月 1 日正式结束，在补丁验证完成后，Bug Bounty 奖金 6,500 美元已由 Bright 支付。该付款体现了漏洞奖励计划典型的金钱激励结构。

虽然金钱奖励和快速修补展示了功能性的安全响应，但此事也提出了关于更广泛风险格局的疑问。例如，对 libheif 等第三方库的依赖可能在众多共享该组件的服务中引入系统性漏洞。

另一个悬而未决的问题是 AI 模型在多大程度上能够自主发现并武器化类似缺陷。当前案例表明 AI 能加速漏洞开发，但最终步骤的解释和执行仍离不开人类专业知识。

未来的研究可以探讨将第三方依赖的自动化静态分析集成到 CI 流水线中，是否能够缩短类似 CVE‑2026‑32882 漏洞的暴露窗口。

总体而言，此次事件强调，尽管 AI 工具可以加速攻击的某些阶段，但它们并不能取代严格的安全卫生、彻底的依赖管理以及强健的身份验证机制。