LONDON (IT BOLTWISE) – Eine Sicherheitsstudie zeigt, wie ein KI-Agent über einen Heap-Buffer-Overflow in libheif in ein OpenAI-nahe Forum und anschließend in interne Quellcode-Bereiche vordrang. Der Weg verlief nicht über gestohlene Passwörter oder Phishing, sondern über eine ausnutzbare Schwachstelle in der Bildverarbeitung. Der Vorfall dauerte vom Start der Analyse bis zum Zugriff auf das interne Repository weniger als 72 Stunden. Entscheidend ist: Sobald ein Agenten-System mit SSO, Foren-Plugins und Monorepo-Zugängen gekoppelt ist, können Patchzyklen zeitlich zu langsam sein.
Der Kern der Geschichte klingt wie ein Kontrastproblem: Ein KI-System, das eigentlich für Code- und Textaufgaben gedacht ist, wird hier zum Werkzeug einer Offensive – und zwar nicht im Labor, sondern über reale Software-Bausteine einer Produktumgebung. Laut der Beschreibung griff ein Team hinter der Security-Firma Hacktron AI mit Anthropics Claude Opus 5 eine Schwachstelle an, die in der Bilddekodierung steckt. Ausgangspunkt war ein einfacher Fehler in der Open-Source-Bibliothek libheif, die vor allem dafür genutzt wird, HEIC/HEIF-Bilder zu verarbeiten. Aus einem einzigen Bild-Upload-Problem wurde dabei in kurzer Zeit mehr als eine Demonstration: Die Forschenden sollen remote Code Execution im Kontext eines OpenAI-Community-Forums sowie Admin-Zugriff erlangt haben.
Technisch betrachtet lag der „Hebel“ in einem Heap-Buffer-Overflow, den Discourse-Server – also genau jener Foren-Softwarestack, der für Community-Plattformen häufig als Standardbasis dient – durch eine konkrete libheif-Version bis 1.19.7 bzw. 1.19.8 mitbrachten. Die Schwachstelle galt als bereits bekannt und soll beim Verarbeiten eines manipulierten HEIF-Dateiformats getriggert werden. Hacktron AI begann am 23. Juli damit, die Bild-Pipeline von Discourse zu prüfen. Schon am Folgetag verfügten sie über einen funktionierenden Exploit – allerdings zunächst nur unter der Bedingung, dass ASLR deaktiviert war. Diese Memory-Randomisierung ist nicht „nice to have“, sondern eine entscheidende Hürde gegen zuverlässige Ausnutzung im Speicher; dass der erste Erfolg davon abhing, zeigt, wie viel Arbeit in Stabilität und Plattformvarianten steckt.
Ab dann wird das Muster interessant, weil es direkt die Rolle der KI-gestützten Ausnutzungsphase beschreibt. Laut Darstellung versuchte Claude Opus 4.8 in mehreren Sitzungen, einen Exploit zu bauen, der ASLR überstehen würde – und scheiterte wiederholt. Erst als Claude Opus 5 am Abend des 24. Juli veröffentlicht wurde, änderte sich der Output: Das Team wechselte das Modell, bekam innerhalb von drei Stunden auf einem lokalen Mac eine ARM64-fähige Version hin und portierte bis 6:00 Uhr UTC auf x86-64; zusätzlich passten sie den Code auf den jemalloc-Allocator an, der in Discourse-Umgebungen in der Produktion offenbar tatsächlich verwendet wurde. Dadurch wurde aus einer verwundbaren Pipeline ein „breit abwendbares“ Angriffsartefakt. In dem Timing-Frame zwischen 5:00 und 6:00 Uhr UTC soll der vollständige Remote-Zugriff und Admin-Kontrolle bestätigt worden sein, danach ging es sehr schnell in Richtung Verantwortungsprozess.
Der Schritt vom Foren-Admin zur Kette in echte Konten und interne Systeme erfolgt in vielen Vorfällen über die naheliegenden Integrationen – hier wird es besonders klar an SSO (Single Sign-On) und an der Brücke zu Mitarbeiterkonten. Hacktron AI reichte die Schwachstelle über Bugcrowd zwischen 8:00 und 10:00 Uhr UTC ein. Bereits bis 13:30 Uhr UTC am selben Tag soll dann eine Schwäche im OpenAI-SSO-Setup genutzt worden sein, um die Forum-Kontrolle in den Zugriff auf echte ChatGPT- und Codex-Konten eines Mitarbeiters zu überführen. Mit diesem Zugriff wurde schließlich ein proof-of-concept Pull Request in einem internen Monorepo geöffnet; der Bericht nennt explizit eine PR-Nummer. Offenbar kam es parallel dazu zu einer Bestätigung des Fixes am 25. Juli um 22:49:45 UTC. Danach wird das Bild rund: OpenAI zahlt laut Darstellung 6.500 US-Dollar über Bugcrowd als Bounty, während Discourse die zugrunde liegende libheif-Fehlstelle am 28. Juli patchte.
Bemerkenswert ist nicht nur die Dauer – „unter 72 Stunden“ von Start bis Repo-Zugriff –, sondern auch die angedeutete Beschleunigung von einer zuvor meist personell und zeitlich aufwendigen Tätigkeit. Hacktron AI beschreibt das Vorhaben als breitere Forschungskampagne namens „HEIF Heist“ und behauptet dabei, dass die gleiche libheif-Schwäche auch in weiteren Umgebungen auftauchte, darunter bei Diensten, die HEIF/HEIC-Bilder ebenfalls über vergleichbare Softwareketten verarbeiten. Für die praktische Bewertung zählt dabei eine Zahl, die in der Darstellung als besonders headline-tauglich herausgestellt wird: der KI-Tokenaufwand der zweimonatigen Kampagne soll insgesamt unter 3.000 US-Dollar gelegen haben. Unabhängig davon, wie man die Ethik des Veröffentlichens solcher Kennzahlen bewertet, macht die Botschaft einen Punkt konkret: Eine Schwachstellenklasse, die früher oft Wochen spezialisierter Offensive-Security-Arbeit brauchte, kann unter bestimmten Bedingungen in Stunden durch einen KI-Arbeitsablauf „ausgerollt“ werden – zumindest bis zur Angriffsdemonstration.
Für Unternehmen, die agentische KI-Funktionen mit internen Tools verkoppeln, liegt die strategische Konsequenz im „Angriffs-Flächen-Multiplikator“: Jede Schnittstelle, jedes SSO-Setup, jedes Forum-Plugin, jede Datenkonnektivität kann zur Eintrittskarte werden. In der Darstellung wird zudem eine Ironie hervorgehoben, die nicht nur Schlagzeilencharakter hat, sondern operativ relevant ist: Das KI-System, das im eigenen Haus getestet wird, konnte offenbar die Infrastruktur eines großen Wettbewerbers ausnutzen. Gleichzeitig ist die Learnings-Logik ernüchternd: Sobald die Kette aus Upload-/Parsing-Code, Plattformintegration und Berechtigungsmodell geschlossen ist, muss die Verteidigung nicht nur schnell sein, sondern auch in der Lage, die Verbindung zwischen „Code-Ausführbarkeit“ und „Zugriffsrechten“ frühzeitig zu unterbrechen. Dass OpenAI den Fix innerhalb eines Tages nach Bekanntwerden umgesetzt haben soll, zeigt, dass schnelle Reaktion möglich ist; die kritische Lücke liegt aber vorher – nämlich im zeitlichen Fenster, das Security-Teams brauchen, um überhaupt zu wissen, was sie patchen müssen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Wie Claude Opus den HEIC-Fehler nutzte, um in OpenAIs GitHub vorzudringen" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Wie Claude Opus den HEIC-Fehler nutzte, um in OpenAIs GitHub vorzudringen" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Wie Claude Opus den HEIC-Fehler nutzte, um in OpenAIs GitHub vorzudringen« bei Google Deutschland suchen, bei Bing oder Google News!