LONDON (IT BOLTWISE) – Drei Forscher haben mit Hilfe von Anthropic Claude Opus 5 in weniger als 72 Stunden eine Kette aus zwei Schwachstellen kombiniert und dabei ChatGPT- sowie Codex-Konten von OpenAI-Mitarbeitern übernommen. Der Einstieg kam über einen Fehler in der Bildverarbeitung einer öffentlichen Hilfe-Forum-Software, der per manipuliertem HEIF-Bild den Serverspeicher beschädigte. Weil das Forum die gleiche OpenAI-Login-Option wie interne Systeme nutzte, reichte der Zugriff bis zu internen Konten und einem Code-Repository. Offen bleibt laut Bericht, wie groß der potenzielle Zugriff hätte werden können und ob bereits zuvor gepatchte Umgebungen nachprüfen müssen.
Der zentrale Punkt an der aktuellen Schwachstellenmeldung ist weniger die konkrete Kompromittierung als die Geschwindigkeit, mit der sich komplexe Exploits bauen lassen. Hacktron beschreibt, dass die drei Forschenden eine Kette aus zwei Fehlern mit Anthropics KI-Modell Claude Opus 5 nutzten, um in „unter 72 Stunden“ gültige Zugriffe auf ChatGPT- und Codex-Konten mehrerer OpenAI-Mitarbeiter zu demonstrieren. Wichtig ist dabei die Einordnung: Es habe sich um Security Research gehandelt, nicht um einen realen Angriff. Das Team habe die Lücken gemeldet, den Zugriff mit einem harmlosen Pull Request belegt, danach aber gestoppt. OpenAI habe den Fehler rund 14 Stunden nach dem Bericht behoben und laut Hacktron außerdem einen Bounty in Höhe von 6.500 US-Dollar gezahlt.
Technisch betrachtet wirkt die Story auf den ersten Blick wie ein Klassikfall „öffentlicher Dienst trifft interne Identität“. Das öffentliche Help-Forum basiert auf Discourse und erlaubt eine „Sign in with OpenAI“-Option, also Single Sign-on (SSO), das auch Mitarbeitende für andere Dienste verwenden. Damit kann ein Problem, das eigentlich nur die Forum-Plattform betrifft, in der Praxis als Identitätsproblem durchschlagen: Sobald der Zugriff auf die Forum-Serverumgebung gelingt, können Forschende über denselben Login auch Konten übernehmen, die mit OpenAI-Anmeldeinformationen verknüpft sind. Hacktron betont, dass das nicht an einem spezifischen Forum-Feature liegt, sondern an der gemeinsamen Sign-in-Schicht. In der Praxis hätte sich der Radius theoretisch über den Forenbereich hinaus ausdehnen können, etwa auf Tools wie GitHub, Slack oder E-Mail – den Schritt über den demonstrierten Umfang hinaus habe das Team jedoch nicht genutzt.
Der eigentliche technische Hebel begann nach Angaben des Berichts mit einem Bild-Parsing-Fehler. Discourse übergibt hochgeladene HEIC- und HEIF-Bilder an ImageMagick; dabei greift ImageMagick auf die libheif-Bibliothek zurück, um die Formate zu lesen. Ein Schwachstellenfall in libheif kann dabei den Speicher außerhalb der vorgesehenen Grenzen lesen oder beschädigen. Discourse ordnet das Ergebnis in seinem Advisory als „Remote Code Execution“ ein und führt es als CVE-2026-32882 mit 8,8 von 10 ein. In den Detailbeschreibungen zu libheif selbst sowie in nationalen Schwachstellen-Datenbanken wird der Fehler jedoch enger gefasst: Dort wird CVE-2026-32882 als „out-of-bounds read“ beschrieben, der zum Absturz führen oder nahe Speicherbereiche offenlegen kann, aber nicht als unmittelbarer RCE-Blueprint.
Entscheidend ist daher die nächste Stufe der Kettenlogik. Offenlegtes oder manipuliertes Speicherverhalten kann Schutzmaßnahmen wie ASLR (Address Space Layout Randomization) aushebeln, weil Angreifer dadurch zuverlässigeren Zugriff auf Speicheradressierung erhalten. Hacktron beschreibt, dass sie die Speicherprobleme aus libheif mit KI-gestützter Unterstützung in einen funktionierenden Code-Execution-Pfad für den Forum-Server umgewandelt hätten. Parallel dazu wird der Patch-Kontext klar: libheif habe upstream bereits im Mai 2026 in Version 1.22.0 korrigiert. Dennoch lief die Forum-Umgebung, die die Forschenden im Juli untersuchten, offenbar auf einer Debian-12-Distribution mit einer älteren libheif-Variante 1.19.7. Der Bericht macht damit ein typisches Infrastrukturproblem sichtbar: Selbst wenn die Fixes öffentlich bekannt sind, sind sie im Betrieb nicht automatisch „drin“, weil Container-Images, Build-Artefakte oder gepackte Bibliotheken in der Distribution zeitversetzt aktualisiert werden. Für eigene Discourse-Setups empfiehlt das Team, nicht nur eine Weboberfläche zu patchen, sondern die Grundlage „neu zu bauen“, bis die Releases 2026.7.0, 2026.6.1, 2026.5.2 oder 2026.1.6 enthalten sind.
Genau hier setzt die Rolle der KI an. Hacktron schreibt, dass frühere Versuche mit Claude Opus 4.8 mehrere Sessions gebraucht hätten, weil ein funktionierender Exploit erst gelang, nachdem ASLR aktiv war und Standardabwehrmechanismen überwunden werden mussten. Mit Claude Opus 5 soll es dann schneller gegangen sein: In einer frischen Sitzung habe das Modell innerhalb weniger Stunden einen funktionierenden Exploit liefern können. Gleichzeitig wird im Bericht betont, dass Opus 5 mit Safeguards ausliefert, die das automatische Erzeugen von Exploit-Code für reale Ziele verhindern sollen. Die Forschenden hätten die Schutzmechanismen jedoch umgangen, indem sie das Modell auf ihren eigenen Testserver mit einer Capture-the-Flag-ähnlichen Umgebung ansetzten und es in einer automatisierten Schleife arbeiten ließen. Das unterstreicht: Auch wenn KI die iterative Analyse und Formulierung von Payload-Varianten beschleunigt, bleibt nach Darstellung des Teams ein qualifiziertes menschliches Steuern notwendig – es war nicht „hands-off“ und nicht komplett automatisiertes Hacking ohne Kontrolle.
Die Folgen für Betreiber gehen über Discourse hinaus, weil der Datenpfad das Muster liefert, das viele Systeme bereits heute teilen. Wenn ein Dienst untrusted HEIF/HEIC (oder AVIF) über libheif dekodiert, steigt das Risiko, sobald der Bibliotheksstand hinter dem Security-Release zurückliegt. Und wenn zusätzlich ein öffentlich erreichbarer Dienst dieselbe Identitätsbasis wie interne Tools nutzt, kann aus einer vermeintlich isolierten Web-Schwachstelle ein breiterer Zugriff werden. Für Teams mit Single Sign-on heißt das konkret: Trust-Beziehungen zwischen Diensten müssen enger definiert werden, und besonders bei sensiblen Aktionen sollten Identitätsprüfungen nicht blind eine bestehende Session weiterverwenden. Der Bericht enthält außerdem den Hinweis, dass es keine Anzeichen gebe, dass die konkrete Lücke real missbraucht worden sei; als Stand Mitte September 2026 sei sie nicht auf einer US-Behördenliste mit nachgewiesen ausgenutzten Schwachstellen gewesen. Gleichzeitig schränken die Autoren die Aussage ein, weil solche Listen weder vollständig noch beweisend dafür sind, dass gar kein missbräuchliches Ausnutzen stattfand.
Was organisatorisch noch unklar bleibt, ist die Frage nach „Vergangenheit statt Gegenwart“. Der Bericht lässt offen, ob Organisationen, die inzwischen gepatcht haben, zusätzlich prüfen sollten, ob es vor dem Fix bereits zu unbemerkten Zugriffen gekommen ist. Für die Praxis spricht allerdings viel dafür, die Identitäts- und Zugriffsketten zumindest in Form von Logs, Session-Historien und Repository-Audit-Spuren zu verifizieren, selbst wenn der Exploit selbst nicht mehr wiederholbar ist. Interessant ist dabei auch, dass Hacktron das Muster in einem größeren Projekt „HEIF Heist“ auf andere Softwarekomponenten übertragen haben will und dabei weitere Schwachstellenklassen in unterschiedlichen Anwendungen nennt – bestätigt sei aber nicht überall. Für Entscheider bleibt damit vor allem eine Botschaft: KI beschleunigt nicht nur das Verteidigen, sondern kann die „Zeit bis zur funktionierenden Schadensdemo“ auch für Offense reduzieren. Wer die Update-Pipeline und die Vertrauenskanten zwischen öffentlichen Diensten und internen Identitäten sauber gestaltet, reduziert genau die Art Kette, die in diesem Fall funktioniert hat.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "KI-Modell verkürzt Exploit-Zeit: Opus 5 half bei OpenAI-Account-Übernahme" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "KI-Modell verkürzt Exploit-Zeit: Opus 5 half bei OpenAI-Account-Übernahme" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »KI-Modell verkürzt Exploit-Zeit: Opus 5 half bei OpenAI-Account-Übernahme« bei Google Deutschland suchen, bei Bing oder Google News!