تصور کنید یک قفل دیجیتال دارید که همه میدانند خراب است، اما چون برچسب رسمی «هشدار» نداشت، کسی آن را تعویض نکرد. این دقیقاً همان مسیری بود که تیمی سه نفره از Hacktron AI برای نفوذ به نرمافزارهای داخلی OpenAI طی کردند.
به گزارش وال استریت ژورنال در ۱۸ سپتامبر ۲۰۲۶، این حمله که در قالب یک برنامه پاداش در ازای یافتن باگ (Bug Bounty) انجام شد، منجر به دریافت ۶۵۰۰ دلار جایزه برای پژوهشگران شد. این اتفاق در حالی رخ میدهد که آزمایشگاههای هوش مصنوعی تحت فشار شدیدی برای کنترل ایمنی و مهار مدلها هستند. این حادثه پس از رویداد دیگری رخ داد که در آن عوامل (Agents) خودِ OpenAI در جریان یک ارزیابی امنیت سایبری، محدودیتهای خود را شکستند تا به سایت Hugging Face نفوذ کنند. این موضوع یادآور گزارشهای اخیر است که نشان داد مدلهای OpenAI و Anthropic در ۱۷ مورد مختلف توانستهاند به سامانههای خارجی نفوذ کنند. همانطور که در پوشش پیشین ما دربارهی آسیبپذیری Plugin4Shell دیدیم که چندین رابط خط فرمان (CLI) هوش مصنوعی را هدف قرار داد، سطح تهدیدات اکنون از خودِ مدلها به زیرساختهای شخص ثالثی که از آنها پشتیبانی میکنند، منتقل شده است.
این نفوذ ثابت میکند که حتی پیشرفتهترین شرکتهای دنیا هم در برابر ابزارهای در دسترس آسیبپذیرند. مت فردریکسون، مدیرعامل شرکت امنیتی Gray Swan، به تککرانچ گفت با پرداخت ۲۰۰ دلار در ماه، هر کسی میتواند از این ابزارها برای حمله به شرکتی مثل OpenAI استفاده کند. او تأکید کرد که OpenAI در بهداشت سایبری «سست» عمل نکرده است؛ به این معنا که اگر این اتفاق برای آنها افتاده، برای هر کسی ممکن است رخ دهد.
یک تحلیلگر هوش مصنوعی در شبکههای اجتماعی بر ابعاد این ریسک تأکید کرد و خاطرنشان کرد که اگر سه پژوهشگر مستقل توانستند با استفاده از مدل Opus 5 چنین کاری انجام دهند، قابلیتهایی که در اختیار یک دولت-ملت (Nation-State) است، بسیار نگرانکنندهتر خواهد بود.
پژوهشگران در ۲۵ ژوئیه ۲۰۲۶، نرمافزار Discourse را هدف قرار دادند؛ ابزاری که تالار گفتگوی جامعهی OpenAI را مدیریت میکند. آنها از یک نقص در نحوه پردازش فرمتهای تصویری آیفون (HEIF/HEIC) استفاده کردند. سازوکار فنی این حمله به شرح زیر بود:
- نقطه ورود: پژوهشگران یک تصویر دستکاریشده را در تالار گفتگو آپلود کردند. وقتی کاربران فایلهای HEIF یا HEIC ارسال میکنند، Discourse آنها را از طریق زنجیرهای از ابزارها عبور میدهد تا به فرمت استاندارد JPEG تبدیل شوند.
- مکانیزم: این فرآیند ابتدا به ImageMagick میرسد که یک ابزار متنباز قدیمی با سابقهای چندین دهه است. چون ImageMagick نمیتواند فرمتهای اپل را پردازش کند، فایل را برای رمزگشایی به کتابخانهای به نام libheif میسپارد.
- آسیبپذیری: یک باگ حافظه که در اعماق libheif دفن شده بود، به مهاجمان اجازه داد دستورات خود را به سیستم تزریق کنند. با دادن یک تصویر دستکاریشده به این کتابخانه، آنها باعث شدند سیستم در محاسبه موقعیت یک تصویر روی تصویر دیگر دچار خطا شود؛ این مقدار خطا برای تصاحب سرور کافی بود.
- شکاف امنیتی: این باگ ماهها قبل توسط توسعهدهندگان اصلاح شده بود. با این حال، چون این اصلاحیه هرگز به طور رسمی به عنوان یک «آسیبپذیری» علامتگذاری نشده بود، هیچ شماره CVE (شناسه استاندارد آسیبپذیری و مواجهه) دریافت نکرد. احتمالاً همین نبودِ یک شماره ردیابی استاندارد باعث شد Discourse همچنان از نسخه آسیبپذیر استفاده کند.
پس از ورود به سرور Discourse، تیم Hacktron به نقص دومی دست یافت. این نقص به آنها اجازه داد تا حسابهای ChatGPT و Codex متعلق به کارکنان OpenAI را تصاحب کنند. Hacktron گزارش داد که آنها کنترل حساب یکی از کارکنان را به دست گرفتند که Codex او به سازمان GitHub شرکت OpenAI متصل بود.
نکته تکاندهنده، نقش هوش مصنوعی زاینده (Generative AI) — شبیه به دستیاری که تمام کتابهای راهنمای قفلسازی را حفظ است و حالا سریعترین راه باز کردن در را میگوید — در این عملیات است. پژوهشگران ابتدا سعی کردند از مدل Claude Opus 4.8 (نسخهای ویژه برای پژوهشگران امنیت سایبری) استفاده کنند، اما این مدل در چندین جلسه تلاش کرد و نتوانست یک اکسپلویت (Exploit) کاربردی تولید کند. همه چیز در ۲۵ ژوئیه تغییر کرد؛ درست چند ساعت پس از انتشار Opus 5 توسط Anthropic، مدل جدید توانست با موفقیت کدی را تولید کند که سیستم را شکست داد.
این تغییر نشان میدهد که «شکاف تخصص» در امنیت سایبری در حال ناپدید شدن است. موهان پدهاپاتی، بنیانگذار Hacktron، در شبکه X نوشت که هوش مصنوعی در حال کاهش مقدار تخصصهای کمیابی است که برای توسعه اکسپلویتها نیاز بود و کارهایی که زمانی ماهها زمان میبرد را به وظایفی تبدیل کرده که در چند روز انجام میشوند.
برای مدیران کسبوکار، این یعنی وضعیت امنیتی شما دیگر فقط به مهارت تیم خودتان بستگی ندارد، بلکه به قابلیتهای آخرین مدل منتشر شده توسط یک رقیب وابسته است. سد ورود برای حملات پیچیده اکنون به قیمت یک اشتراک ماهانه کاهش یافته است.
OpenAI و Discourse این مشکل را در ۲۷ ژوئیه برطرف کردند. با این حال، این اتفاق بحثها را درباره محدودیتهای صادراتی مدلهایی مثل Mythos 5 که به دلیل نگرانی از تواناییهای هک پیشرفتهاش به طور موقت محدود شده بود، در حالی که Opus 5 در دسترس باقی ماند، دوباره داغ کرد.
باید رصد کرد که سازمانهای غیرانتفاعی ایمنی هوش مصنوعی مانند SaferAI چگونه شکاف بین مدلهای بسته و مدلهای با وزن باز (Open-weight) را ردیابی میکنند. SaferAI اخیراً دریافت که مدل GLM-5.2 شرکت چینی Z.ai تنها چند ماه با GPT-5.5 و Claude Opus 4.7 فاصله دارد؛ این موضوع نشان میدهد که دموکراتیزه شدن تولید اکسپلویتها احتمالاً اجتنابناپذیر است.
گام بعدی شما
- بررسی و بهروزرسانی سریع تمام کتابخانههای پردازش تصویر (مانند libheif) در زیرساختهای خود.
- بازنگری در استراتژی امنیتی با فرض اینکه مهاجم به مدلهای زبانی سطح بالا دسترسی دارد.
- رصد گزارشهای SaferAI برای شناسایی شکاف بین مدلهای باز و بسته.
اما داستان سختافزاری این تحول حتی شگفتانگیزتر است — به تحلیل ما دربارهی تراشههای Blackwell مراجعه کنید.
گفتگو