OpenAI trennt die beiden Schwachstellen klar voneinander. Gegenüber SecurityWeek erklärte das Unternehmen, der Bildverarbeitungsfehler habe im Drittanbieterdienst Discourse gelegen, während der Weg zur Kontoübernahme ein separates Problem auf Seiten von OpenAI gewesen sei.
Diese OpenAI-eigene Schwäche betraf die Anmelde-Token, die für das Community-Forum erzeugt wurden: Sie trugen zu weitreichende Berechtigungen und gewährten vollen API-Zugriff auf die zugehörigen ChatGPT- und Codex-Konten. Da Nutzer häufig weitere Dienste mit diesen Konten verknüpfen, reichte die theoretische Angriffsfläche bis zu Diensten wie GitHub, Slack und E-Mail.
Um den Zugriff zu belegen, ohne internen Code zu lesen, übernahm Hacktron nach eigenen Angaben das Konto eines OpenAI-Mitarbeiters, dessen Codex-Integration mit der GitHub-Organisation von OpenAI verbunden war. Damit öffneten die Forscher einen Pull Request in einem internen Repository und stellten die weiteren Tests anschließend ein.
OpenAIs eigene Aufarbeitung des Vorfalls ergab laut Unternehmen begrenzte Lesezugriffe auf Metadaten und Commits privater Repositories, gefolgt von dem eingereichten Pull Request, der sich konkret auf eine README-Datei bezog. Den in Hacktrons Bericht ebenfalls erwähnten möglichen Zugriff auf Slack relativiert OpenAI: Die Forscher hätten einen tatsächlichen Zugang zu Slack-Nachrichten von Mitarbeitern nicht verifiziert.
Die Meldewege liefen getrennt. Das Kontoübernahme-Problem meldete Hacktron über Bugcrowd an OpenAI; rund 14 Stunden später bestätigte der KI-Konzern einen Fix. Die libheif-Schwachstelle ging über HackerOne an Discourse. Dort lag innerhalb von zwei Tagen eine Korrektur bereit, zusätzlich führte Discourse eine Sandbox für die Bildverarbeitung als weitere Schutzschicht ein und veröffentlichte anschließend eine Sicherheitsmitteilung.
In einer Stellungnahme erklärte OpenAI: „Wir danken den Forschern dafür, dass sie uns kontaktiert und ihre Erkenntnisse geteilt haben. Wir haben die Berechtigungen der Community-Anmeldetoken eingeschränkt sowie betroffene Token und Sitzungen widerrufen.“ Für den Fund auf OpenAI-Seite zahlte das Unternehmen Hacktron eine Prämie von 6.500 Dollar.
Bemerkenswert an der Kette ist der Umstand, dass eine längst stromaufwärts korrigierte Bibliotheksschwachstelle mangels Sicherheitskennzeichnung und CVE-Zuordnung in der Produktivumgebung fortbestand – und dass die Entwicklung des funktionierenden Exploits mit Unterstützung eines KI-Modells gelang.