Sicherheit

Forscher nutzten Claude, um ChatGPT-Konten von OpenAI-Mitarbeitern zu hacken

Agentische Exploits gewinnen (erneut)

Da sieht man mal, wie die Konkurrenz zur Tür hereinkommt. Sicherheitsforscher nutzten Anthropic’s Claude, um beim Hacken von ChatGPT-Konten von OpenAI-Mitarbeitern zu helfen.

Ein Trio von Bug-Huntern, die Sicherheitslücken in führenden KI-Laboren untersuchten, verketteten zwei Schwachstellen, um mehrere ChatGPT-Konten von OpenAI-Mitarbeitern zu übernehmen, und nutzten diesen Zugang dann, um zu demonstrieren, dass sie ein internes OpenAI-Repository erreichen konnten, indem sie einen harmlosen Pull-Request öffneten.

Der gesamte Zeitablauf, von der ersten Entdeckung bis zum Zugriff auf das OpenAI-Repo, dauerte weniger als 72 Stunden und brachte den Forschern eine Belohnung von $6,500 aus dem Bug-Bounty-Programm von OpenAI auf Bugcrowd ein.

„Bis vor zwei Monaten konnte jedes ChatGPT- und Codex-Konto übernommen werden, wenn sich ein Nutzer oder OpenAI-Mitarbeiter im OpenAI-eigenen Hilfeforum (community.openai.com) anmeldete“, erklärten die Hacktron-Forscher Harsh Jaiswal, Mohan Pedhapati und Rahul Maini in einem Bericht über ihre Forschung. „Da Menschen verschiedene Dienste mit Codex und ChatGPT verbinden können, war der Umfang dessen, worauf wir theoretisch hätten zugreifen können, gewaltig, einschließlich GitHub, Slack und E-Mails.“