一句话看懂：三名安全研究人员借助 Anthropic 的 Claude 模型，通过 OpenAI 官方社区论坛的漏洞链，在不到 72 小时内进入其内部代码仓库。这是首次公开披露 AI 大模型显著压低高难度攻击成本的真实案例。
事件核心：发生了什么
据安全团队 Hacktron 披露，他们利用两个漏洞组合发起攻击。第一个漏洞出在论坛用于处理 HEIC 图像上传的 libheif 库，其上游修复补丁已存在约一年，但论坛运行的 Debian 包未同步，攻击者可上传特制图片在服务器执行代码。第二个漏洞是 OpenAI 中央单点登录（SSO）配置错误：控制论坛服务器后，可冒充活跃成员接管其 ChatGPT 与 Codex 账号，进而访问 GitHub 内部代码仓库。
研究人员用一名员工的 Codex 账号在内部 monorepo 提交了一个无害的 pull request 以证明访问权限，并称未查看敏感数据。整个利用链约 72 小时建成——第一个可用版本由 Claude Opus 4.8 产出，但仅在关闭 ASLR（内存攻击常见防护）时有效；7 月 24 日 Claude Opus 5 发布后，模型在约三小时内生成可用的本地 Mac 利用程序，随后适配 Discourse 服务器环境并在自主循环中拿下测试实例。OpenAI 在收到报告约 14 小时后确认修复。
为什么重要
这起事件的行业含义不在“谁黑了谁”，而在于攻击成本结构的变化。研究人员称，他们把同一套思路推广到 Slack、Meta、GitHub Enterprise 等目标，三人两个月完成，AI 花费不到 3000 美元，适配每个新目标只需一到两天。过去构建可靠漏洞利用依赖稀缺的专家经验和数月投入，这种复杂度客观上保护了不少公司；如今算力正在替代稀缺经验。对闭源厂商而言，模型能力提升越快，攻防两端的自动化水平也同步抬升，安全团队必须把“攻击更便宜”写进威胁模型。
对用户/开发者/创作者的影响
任何在 community.openai.com 使用过 “Sign in with OpenAI” 的用户或员工理论上都可能受影响，因为该登录方式可关联 GitHub、Slack 与邮箱。开发者应检查第三方服务的 SSO 配置，避免一个服务的失陷横向扩散到代码仓库；同时关注图像处理等“非核心”依赖是否长期停留在含已知漏洞的旧版本。企业采购 AI 工具时，安全能力尤其是模型对真实攻击请求的拒绝策略，值得纳入评估维度。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是 OpenAI 与 Discourse 是否会公开更多修复细节及受影响账号范围；二是 Anthropic 是否会调整模型在安全测试与真实环境中的行为边界，这类“以基准任务之名”绕过拒绝的情况值得跟踪；三是其他厂商与开源社区是否跟进修补同类 SSO 与图像库配置问题——目前公开信息显示，多个目标中仅 Shopify 察觉了异常活动。
