Hacker mit Claude kamen über OpenAIs SSO-Fehler an Mitarbeiterkonten

Das Wichtigste in Kürze

• Statt eines Einbruchs bei OpenAI, wie ihn die Schlagzeilen melden, beschreiben die Forscher eine Kette, in der nur ein fehlerhaftes Glied OpenAI selbst gehörte.
• OpenAI schloss seinen SSO-Fehler nach Angaben der Forscher rund vierzehn Stunden nach der Meldung.
• Die Prämie von 6.500 Dollar galt laut OpenAI ausdrücklich nur für diesen Fund, nicht für die Aktionen gegen das Forum.
• Die libheif-Lücke trug seit dem 19. Mai eine vollständige CVE, doch im Discourse-Image lief am 25. Juli noch eine ältere Version aus einem Best-effort-Kanal.
• Debians Sicherheits-Tracker führt Debian 12 am 18. September für dieselbe Lücke weiter als verwundbar.

Ein Bild-Upload, die Bildbibliothek libheif, ein Debian-Paket, der Konverter ImageMagick, die Forensoftware Discourse, das Forum community.openai.com und dann ein Fehler im Single-Sign-On von OpenAI: An das Ende dieser Kette setzen die Forscher von Hacktron übernommene Mitarbeiterkonten und einen Zugriff auf ein internes Repository. Ihr Bericht vom 13. September¹ ist eine Selbstdarstellung der Angreifer, nicht unabhängig bestätigt. Das Wall Street Journal machte daraus am 18. September „Hackers Used Anthropic’s Claude to Break Into OpenAI“, Dutzende Medien übernahmen den Rahmen. Die Forscher schreiben Genaueres: Von den fehlerhaften Gliedern, die sie aneinanderreihen, gehörte OpenAI nur eines.

Bibliothek, Paket, Forum und Anmeldeverfahren gehören vier verschiedenen Parteien. Ein Sicherheitsetikett stößt die Triage beim Team einer Distribution an, doch einen Kanal, der nur „auf Best-effort-Basis“ läuft, erreicht es nicht von allein.

OpenAI schloss den SSO-Fehler in vierzehn Stunden und zahlte 6.500 Dollar#

„The vulnerability to escalate is not Discourse-specific. It is an OpenAI SSO issue“, schreiben die Forscher: Jeder über dasselbe Verfahren angebundene Dienst hätte denselben Weg geöffnet, das Forum war nur der Nachweis. Nach Angaben von Hacktron bestätigte OpenAI die Behebung rund vierzehn Stunden nach der Meldung.

Der Beweis blieb schmal: Über den Codex eines Mitarbeiters öffneten die Forscher einen harmlosen Pull Request ohne nach eigener Darstellung internen Code einzusehen, und stellten die Tests ein. OpenAI zahlte 6.500 Dollar und grenzte den Betrag selbst ein: „Testing against the Discourse-hosted community.openai.com was explicitly excluded from our bug bounty program. The award recognizes the OpenAI-side finding, not the actions against Discourse.“ In der umgekehrten Rolle stand OpenAI, als ein eigener Agent Hugging Face angriff und kein Haftungsrecht dafür passte².

Claude schrieb den Exploit erst für ein als CTF getarntes Ziel#

Das Werkzeug der Kette waren Sprachmodelle, und an einer Stelle weigerte sich eines. Opus 4.8 fand laut Hacktron die fehlenden Backports, scheiterte aber daran, den Exploit gegen aktivierten Speicherschutz zuverlässig zu machen. Opus 5 lieferte laut Hacktron binnen drei Stunden einen lokalen Exploit und portierte ihn auf die x86-64-Umgebung des Forums. Für den entfernten Angriff notieren sie wörtlich: „We then placed Claude in an autonomous /goal loop against our own Discourse Cloud instance, proxied through rce.ee/ctf-forum to make it look like a CTF target as Opus refused write exploit for remote instances.“ Die Weigerung prüfte also das Etikett des Ziels, und das Etikett ließ sich fälschen. In der breiteren „HEIF Heist“-Kampagne sahen die Forscher einen weiteren Sprung von Opus 5 zu GPT-5.6 Sol, als sie Ziele angriffen, über die sie außer der Verwundbarkeit nichts wussten.

Genau diesen Teil erzählt die Berichterstattung nicht: In keinem von neun durchgesehenen Berichten tauchte die getarnte Instanz auf. Stattdessen hieß es in der deutschen Agenturfassung, „Claude Opus 5 … innerhalb von rund drei Stunden die OpenAI-Seite hackte“, obwohl die drei Stunden nur den Exploit-Bau betreffen; bei t3n lief der Angriff in einer Zwischenüberschrift „mit Claude Opus 4.8″, dem Modell, das laut Hacktron die Lücke fand, am Exploit aber scheiterte. In ihrer zweimonatigen Kampagne gegen weitere Konzerne habe außer Shopify kein Unternehmen die Aktivität erkannt, schreiben die Forscher. Eine ähnliche Entdeckungslücke stand hinter dem lange unbemerkten Angriff auf Anthropic³.

Die libheif-Lücke trug seit Mai eine CVE, das Discourse-Image nicht den Fix#

Hacktron erklärt den fehlenden Fix mit einem fehlenden Etikett: Der verwundbare Code sei im Vorjahr geändert, aber nicht als Sicherheitsfix dokumentiert und ohne CVE geblieben, ein möglicher Grund, warum Debian den Schutz nicht rechtzeitig nachzog. Für die Lücke, die Discourse benennt, trägt diese Erklärung nur bis zum Frühjahr. Das Advisory des libheif-Projekts⁴ führt CVE-2026-32882 seit dem 19. Mai 2026 als „high“, betroffen bis Version 1.21.2, behoben in v1.22.0; der Nationale Schwachstellenkatalog der USA datiert den Eintrag auf denselben Tag. Fünf Tage später legte das Debian-Projekt einen Fehlerbericht mit dem Tag „security“ an.

Am 25. Juli, dem Tag des Angriffs, lief im Discourse-Image trotzdem libheif 1.19.7 aus Debians „stable-backports“, einem nur als Best-effort geführten Kanal. Einen Tag danach wechselte Discourse per Pull Request weg, „instead of relying on Debian backports“, und veröffentlichte am 28. Juli sein Advisory GHSA-vhm9-85gw-x335⁵, das die CVE einer Code-Ausführung zuordnet und zum Neubau rät. Dass die Lücke Lesen und Schreiben außerhalb des Speichers erlaubte, ist eine Angabe von Hacktron; die CVE selbst beschreibt einen Lesefehler jenseits des Puffers. Debians Sicherheits-Tracker⁶ führt Debian 12 am 18. September für diese Lücke weiter als verwundbar. Naheliegend wäre, dass die Kette an zwei Stellen ohne Zusage offenstand: an einem Backport-Kanal ohne Sicherheitsversprechen und an einem Image, das sich auf ihn verließ. Ein Beleg, dass im Backport-Kanal ein Fix bereitlag und nur nicht gezogen wurde, würde die Vermutung kippen.

Wer Discourse oder libheif in Deutschland selbst betreibt, muss neu bauen#

Für Betreiber im deutschsprachigen Raum folgt daraus Arbeit, nicht Beruhigung. Wer Discourse selbst hostet, wie die Nextcloud-Community mit ihrem Hilfeforum, muss die Installation über `./launcher rebuild app` neu bauen; ein Update über die Weboberfläche ersetzt das darunterliegende Image womöglich nicht. Wer libheif über ImageMagick auf Debian 12 betreibt, findet im Tracker denselben Status und kommt über Debian 13, einen Upstream-Build oder das Abschalten der HEIF-Verarbeitung heraus. Hersteller, die solche Komponenten verbauen, müssen aktiv ausgenutzte Schwachstellen nach dem Cyber Resilience Act seit dem 11. September melden. Und die Tests gegen das Forum lagen außerhalb des Bounty-Programms; wer hierzulande ohne Befugnis eine Zugangssicherung überwindet, bewegt sich im Bereich von § 202a StGB, dessen Wortlaut trotz Forderungen nach einer Ausnahme für Sicherheitsforschung unverändert ist.

Debians Paketübersicht⁷ zählt am 18. September für libheif in Debian 12 insgesamt 27 offene Sicherheitsmeldungen. Discourse zog seinen eigenen libheif-Build am 8. September per Pull Request⁸ auf Version 1.23.4 nach, weil das libheif-Projekt drei Fixes darin als schwerwiegend einstuft.

Anlass ist der Bericht „Hacking OpenAI“ von Harsh Jaiswal, Mohan Pedhapati und Rahul Maini für Hacktron hacktron.ai ↗ vom 13. September 2026, eine Selbstdarstellung der Angreifer. Zugeschrieben und aus dieser Quelle zitiert bleiben die Zeitachse, die SSO-Einordnung, der 14-Stunden-Fix, die Prämie samt Scope, die getarnte Instanz und der „HEIF Heist“. Im Wortlaut belegt und verlinkt sind das libheif-Advisory GHSA-hg7q-rjr2-8×46 github.com ↗ zu CVE-2026-32882, das Discourse-Advisory GHSA-vhm9-85gw-x335 github.com ↗, der Debian-Sicherheits-Tracker security-tracker.debian.org ↗ und der Kanalwechsel im Pull Request #1090⁹ des Discourse-Images. Welche Häuser über den Vorfall berichteten, zählt die Presseschau dieser Seite.