Tin ngành
Ba nhà nghiên cứu bảo mật dùng Claude Opus hack tài khoản nhân viên OpenAI trong 72 giờ
(giờ Việt Nam)
Tóm tắt AI
Nhóm nghiên cứu Hacktron đã sử dụng Claude Opus để xâm nhập tài khoản nhân viên OpenAI, truy cập vào kho lưu trữ GitHub nội bộ nhằm chứng minh lỗ hổng bảo mật mà không gây thiệt hại dữ liệu.
Bản dịch AI
Stevie Bonifield
là một cây bút chuyên viết về mọi lĩnh vực công nghệ tiêu dùng. Stevie bắt đầu sự nghiệp tại Laptop Mag với các bài viết tin tức và đánh giá về phần cứng, gaming và AI.
Theo tờ Wall Street Journal, một nhóm gồm ba nhà nghiên cứu bảo mật độc lập tại Hacktron cho biết họ chỉ mất chưa đầy 72 giờ để xâm nhập vào tài khoản của nhân viên OpenAI bằng cách sử dụng Claude Opus 4.8 và 5 của Anthropic. Họ đã có thể truy cập vào kho lưu trữ GitHub của OpenAI, được gọi là “Monorepo”, nơi được cho là chứa “các bí mật thuật toán của OpenAI” theo các nguồn tin của Wall Street Journal.
Họ đã dừng lại trước khi thực sự truy cập vào mã nguồn nội bộ trong Monorepo, nhưng đã gửi một yêu cầu pull request từ tài khoản Codex của một nhân viên để chứng minh rằng họ đã giành được quyền truy cập. Họ đã xâm nhập thành công thông qua Discourse, dịch vụ bên thứ ba lưu trữ các diễn đàn cộng đồng của OpenAI, bằng cách khai thác một vấn đề với hệ thống mà dịch vụ này sử dụng để xử lý hình ảnh HEIF. Theo Hacktron, Claude Opus 5 ra mắt vào tối ngày 24 tháng 7, và đến 10 giờ sáng hôm sau, họ đã sử dụng nó để thực hiện RCE (thực thi mã từ xa) trên Discourse Cloud và truy cập vào hệ thống của OpenAI.
Dự án HEIF Heist của họ chỉ mất “một hoặc hai ngày” để tùy chỉnh cho các công ty khác nhau, bao gồm OpenAI, Slack, Meta, GitHub Ent, Rails, Next.js, ImageMagick và những đơn vị khác, với chi phí sử dụng token chưa đến 3.000 USD. Theo hiểu biết của họ, dự án này chỉ bị phát hiện bởi một mục tiêu duy nhất là Shopify. Các lỗ hổng mà Hacktron báo cáo cho Discourse và OpenAI hiện đã được khắc phục, và Hacktron cho biết OpenAI đã trả cho họ 6.500 USD vì tìm ra lỗi này. Tuy nhiên, như CTO Mohan Pedhapati của Hacktron đã chia sẻ với WSJ: “Tôi không nghĩ chúng tôi mạnh bằng các tác nhân đe dọa từ Trung Quốc… Chúng tôi chỉ là ba gã có đăng ký sử dụng Claude và Codex mà thôi.”
Hãy theo dõi các chủ đề và tác giả từ bài viết này để xem thêm các nội dung tương tự trên trang chủ cá nhân của bạn và nhận thông tin cập nhật qua email.
Bài viết được AI dịch và tổng hợp tự động từ The Verge: AI. Liên kết bài gốc ở phía trên. AIHOT.vn luôn dẫn nguồn đầy đủ — nếu bạn thấy điểm cần chỉnh sửa, hãy gửi ý kiến tại trang phản hồi.