研究人員因破解OpenAI的基礎設施而獲得6500美元

一位以 Hacktron 為筆名的獨立安全研究人員發現了 OpenAI 公司基礎設施中的嚴重漏洞，允許遠程代碼執行（RCE）。為了獎勵發現這個攻擊向量，該公司在 Bug Bounty 計劃中支付了 $6500 的獎金。

在研究過程中，研究人員發現了 Discourse論壇中使用的 libheif 庫中的一個堆溢出（heap overflow）漏洞。利用這個錯誤允許攻擊者逃離隔離環境並訪問內部資源。在攻擊的發展過程中，研究人員發現了一個配置不正確的單點登錄（SSO）系統。

這些漏洞的組合允許攻擊者訪問 ChatGPT 和 Codex 用戶的帳戶以及內部源代碼存儲庫。研究人員在其 技術報告 中詳細描述了導致漏洞的操作鏈條。有關事件詳細信息和搜索方法論的討論可在 Hacker News 平台上找到。

這一事件凸顯了在公共網絡服務中使用第三方圖像處理庫的風險。OpenAI 在收到報告後迅速解決了漏洞，防止了進一步的攻擊。