Claude destekli araştırmayla OpenAI sistemlerine erişim sağlandı

Bağımsız güvenlik araştırmacılarından oluşan üç kişilik Hacktron AI ekibi, Anthropic’in Claude modelini kullanarak OpenAI sistemlerine erişim sağlayan bir saldırı zinciri geliştirdi. Araştırma, OpenAI’nin hata ödül programı kapsamında yürütüldü ve ekip bulgularını şirkete bildirdi. OpenAI ise ortaya çıkarılan güvenlik sorunlarını giderdiğini belirtti.

Araştırmacılar, iki kritik açığı birbirine bağlayarak birden fazla OpenAI çalışanının ChatGPT hesabına erişmeyi başardı. Bu hesaplar üzerinden şirketin yazılım altyapısına giriş yapılabildi. OpenAI, bulguların bildirilmesinin ardından Hacktron AI ekibine 6.500 dolar ödül verdi.

Saldırının başlangıç noktası forumdaki görsel yükleme özelliğiydi

Hacktron AI’nin yayımladığı araştırmaya göre saldırı yolu 25 Temmuz’da, OpenAI’nin topluluk forumunu çalıştıran Discourse yazılımındaki bir açık üzerinden bulundu. İlk bakışta sıradan görünen bir görsel yükleme işlemi, sunucuda kod çalıştırılmasına kadar uzanan zincirin başlangıç noktası oldu.

Forum kullanıcıları HEIF veya HEIC uzantılı görseller yüklediğinde Discourse, dosyaları JPEG formatına dönüştürmek için arka planda birden fazla araç kullanıyordu. Apple cihazlarının varsayılan olarak kullandığı bu görsel formatlarını doğrudan işleyemeyen ImageMagick, dosyanın çözümlenmesi için libheif adlı kütüphaneye başvuruyordu.

Araştırmacıların belirlediği sorun libheif içindeki bir bellek hatasından kaynaklanıyordu. Özel olarak hazırlanmış bir görsel, kütüphanenin görüntü katmanlarının konumunu yanlış hesaplamasına yol açabiliyordu. Bu hata, saldırganın sunucuda kendi talimatlarını çalıştırabilmesi için gerekli yolu açtı.

Güvenlik açısından dikkat çeken noktalardan biri, libheif geliştiricilerinin hatayı daha önce düzeltmiş olmasıydı. Ancak düzeltme, resmî bir güvenlik açığı olarak işaretlenmedi ve sektördeki açık takip sistemi için bir CVE numarası almadı. Hacktron AI, bu durumun Discourse tarafından kullanılan sürümün hâlâ savunmasız kalmasına neden olmuş olabileceğini belirtti.

Claude, saldırı zincirinin kurulmasında nasıl kullanıldı?

Ekip, siber güvenlik araştırmacılarına sunulan özel bir Claude Opus 4.8 sürümünden yararlandı. Araştırmacıların aktarımına göre model, ilk denemelerde çalışan bir istismar kodu oluşturmakta zorlandı. Daha sonra Anthropic’in Opus 5’i yayımlamasıyla birlikte bu durum değişti ve model, saldırının kurulmasına yardımcı oldu.

Buradaki ayrıntı, yapay zekâ modellerinin yalnızca kod yazma aracı olarak değil, güvenlik açıklarını araştırma ve farklı zafiyetleri bir saldırı akışında birleştirme amacıyla da kullanılabildiğini gösteriyor. Saldırıyı gerçekleştiren ekip üç kişiden oluşsa da kullanılan model, teknik araştırmanın bazı bölümlerini hızlandırdı.

Bu olay, güvenlik riskinin yalnızca büyük yapay zekâ modellerinin kendi altyapısından kaynaklanmadığını da ortaya koyuyor. OpenAI forumunda kullanılan üçüncü taraf yazılım, görsel dönüştürme araçları ve bu araçların bağımlı olduğu kütüphaneler birlikte değerlendirildiğinde saldırı yüzeyi genişledi. Bir bileşendeki düzeltmenin güvenlik açığı olarak kayda geçmemesi, diğer sistemlerin savunmasız sürümü kullanmaya devam etmesine yol açabiliyor.

Yapay zekâ şirketleri için güvenlik baskısı artıyor

Olay, yapay zekâ sektöründe güvenlik çalışmalarının neden yalnızca model davranışlarına odaklanamayacağını gösteren örneklerden biri oldu. Şirketlerin forum, hesap yönetimi, dosya işleme ve üçüncü taraf yazılım katmanlarını birlikte denetlemesi gerekiyor. Özellikle güvenlik düzeltmelerinin resmî olarak kayda alınması, savunmasız sürümlerin tespit edilmesi açısından kritik rol oynuyor.

Bu vakadan birkaç hafta önce OpenAI’nin kendi yapay zekâ ajanları, bir siber güvenlik değerlendirmesi sırasında kontrol sınırlarını aşarak Hugging Face’e yönelik bir saldırı gerçekleştirmişti. İki olay farklı koşullarda ortaya çıksa da yapay zekâ sistemlerinin güvenlik araştırmalarında ve saldırı senaryolarında daha etkin kullanılabildiğini gösteriyor.

OpenAI, Hacktron AI’nin bildirdiği sorunları çözdüğünü açıkladı. Ancak olayın asıl sonucu, güncel bir yapay zekâ modelinin ve yaygın kullanılan açık kaynak bileşenlerin bir araya geldiğinde, gelişmiş güvenlik ekiplerine sahip şirketlerde bile beklenmeyen erişim yolları oluşturabileceğini göstermesi oldu.