Ricercatori dicono di aver usato Claude per creare un exploit HEIF e arrivare ai sistemi di OpenAI
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
Un team di tre ricercatori di Hacktron ha impiegato Claude Opus 4.8/5 per generare un file HEIF corrotto che ha permesso RCE su Discourse Cloud e accesso a account e repository di OpenAI in meno di 72 ore.
Tre ricercatori di Hacktron sostengono che, nelle 72 ore successive al rilascio di Claude Opus 5 del 24 luglio, il modello li abbia aiutati a generare e ottimizzare un exploit in formato HEIF. Con quel file, dicono di aver ottenuto esecuzione di codice da remoto (RCE) su Discourse Cloud e di essere poi arrivati all’istanza collegata ai forum della community di OpenAI. Da lì affermano di aver toccato account di dipendenti e il repository GitHub “Monorepo”1.
La catena descritta da Hacktron parte da un’immagine HEIF manipolata. Colpisce un bug nel sistema che elabora le immagini su Discourse. Apre una RCE su Discourse Cloud. Consente l’accesso all’istanza usata da OpenAI. Da quel punto i ricercatori riferiscono movimento laterale fino ad account di dipendenti e al “Monorepo” su GitHub. Per provare l’accesso, dichiarano di aver inviato una pull request dall’account “Codex” di un dipendente e di essersi fermati prima di leggere il codice interno1.
Cronologia, secondo il loro resoconto. Anthropic rilascia Claude Opus 5 la sera del 24 luglio. Entro le 10 del mattino del 25 luglio, il team afferma di aver già ottenuto la RCE su Discourse Cloud e l’accesso all’istanza collegata a OpenAI. L’intera operazione, fino al tentativo di accesso agli account dei dipendenti e al “Monorepo”, sarebbe durata meno di tre giorni. Nelle loro note, sia Claude Opus 4.8 sia Opus 5 avrebbero supportato vari passaggi operativi dell’attacco1.
Hacktron inquadra l’obiettivo: mostrare un percorso realistico da un servizio esterno di community a risorse interne di sviluppo. Il punto d’ingresso resta il bug nel parsing delle immagini HEIF su Discourse Cloud. Non c’è rivendicazione di bypass di autenticazioni proprietarie. La novità che rivendicano è l’uso operativo di un modello linguistico per generare e rifinire il payload su un formato d’immagine comune, riducendo tentativi manuali1.
Sui dati sensibili, Hacktron richiama un articolo del Wall Street Journal che descrive il “Monorepo” di OpenAI come contenente “i segreti algoritmici” dell’azienda, attribuendo la formula al giornale. I ricercatori ribadiscono di non aver letto il contenuto del repository, limitandosi a dimostrare l’intrusione con la pull request. Hacktron cita anche The Verge per il dettaglio del vettore: immagine HEIF corrotta, problema nel sistema di elaborazione su Discourse, RCE, accesso all’istanza collegata a OpenAI, pull request dall’account “Codex”1.
Il gruppo presenta il lavoro con il nome “HEIF Heist”. Nella loro narrazione, Claude ha accelerato la messa a punto del payload e dei passaggi di esecuzione. Ma la leva decisiva, ripetono, è stata la vulnerabilità nel trattamento del formato HEIF all’interno dell’infrastruttura Discourse1.
Restano in sospeso estensione e impatto. Hacktron afferma che adattare la tecnica ad altre aziende richiede “uno o due giorni” e cita come possibili bersagli della stessa classe di attacco OpenAI, Slack, Meta e GitHub. Il gruppo non indica contromisure già adottate né riporta risposte delle aziende menzionate. Se la tesi regge, il punto debole sta dove i servizi di terze parti processano file utente: un singolo bug nel parsing può aprire il resto della catena1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.