Story
September 19, 2026
Claude half beim Hacken von OpenAI – und der Sicherheitsalarm wird lauter
Hacktron stellt den Vorfall als verantwortungsvolle Sicherheitsforschung und als Beleg dafür dar, dass KI die nötige Expertise zum Auffinden schwerwiegender Schwachstellen senkt. OpenAI würdigt die Forscher dafür, das Problem gemeldet zu haben, und erklärt, die betroffenen Zugriffswege geschlossen zu haben; doch die simulierte Sicherheitsverletzung verdeutlicht einen unangenehmeren Wettlauf zwischen KI-Fähigkeiten und defensiver Sicherheitshygiene.
Im Juli begann Hacktron, ein kleines KI-Sicherheits-Startup aus San Francisco, im Rahmen des Bug-Bounty-Programms des Unternehmens, die Community-Infrastruktur von OpenAI zu untersuchen. Die Forscher fanden heraus, dass ein speziell präpariertes HEIF- oder HEIC-Bild, das in das Community-Forum hochgeladen wurde, einen Speicherfehler in libheif ausnutzen konnte, einer Komponente, die in der Bildverarbeitungskette von Discourse eingesetzt wird.1
Die Schwachstelle war nicht neu: Die Entwickler von libheif hatten sie Monate zuvor behoben. Da der Fehlerbehebung jedoch keine CVE-Kennung offiziell zugewiesen worden war, blieb die anfällige Version offenbar weiterhin im Einsatz. Hacktrons Team hatte zunächst Schwierigkeiten, den Fehler mit Anthropics Claude Opus 4.8 in einen funktionierenden Exploit umzuwandeln. Dann veröffentlichte Anthropic Opus 5. „Innerhalb weniger Stunden nach der Veröffentlichung von Opus 5 gaben wir ihm dieselbe Aufgabe, und es war erfolgreich“, schrieb Hacktron.1
Dieser erste Zugriff führte zu einer zweiten Schwachstelle. Die Forscher erklärten, sie hätten ChatGPT- und Codex-Konten übernehmen können, die mit Anmeldungen im Community-Forum verknüpft waren, darunter auch das Konto eines OpenAI-Mitarbeiters. Der Codex des Mitarbeiters war mit der GitHub-Organisation von OpenAI verbunden, doch Hacktron sagt, es habe angehalten, bevor interner Code eingesehen oder Änderungen vorgenommen wurden.2
Hacktron informierte OpenAI und Discourse, statt weiter vorzudringen. Discourse veröffentlichte am 27. Juli einen Fix, und OpenAI zahlte den Forschern 6.500 US-Dollar. OpenAI erklärte, es habe die Berechtigungen für Community-Anmelde-Tokens eingeschränkt und betroffene Tokens und Sitzungen widerrufen, und fügte hinzu: „Wir danken den Forschern dafür, dass sie uns kontaktiert und ihre Erkenntnisse mit uns geteilt haben.“2
Beide Seiten sind sich über das unmittelbare Ergebnis einig: Die Offenlegung funktionierte, und die Sicherheitslücken wurden geschlossen. Ihre weitergehende Einschätzung ist ernüchternder. Für Hacktron zeigt der Vorfall, dass fortschrittliche Modelle die Entwicklung von Exploits beschleunigen können; Gründer Mohan Pedhapati sagte, Arbeiten, die früher Monate dauerten, könnten heute in Tagen erledigt werden.1 Für OpenAI ist es zudem eine Erinnerung daran, dass KI-Sicherheit und klassische Cybersicherheit nun an denselben Schwachstellen aufeinanderprallen: Drittanbieter-Software, übersehene Patches und zu weitreichende Zugriffstokens.