„On July 25, we hacked OpenAI“: zwei Bugs, 72 Stunden, ein interner PR
Der Sicherheitsforscher s1r1us gibt bekannt, die Kontrolle über ChatGPT- und Codex-Konten von OpenAI-Mitarbeitern übernommen zu haben – als Beweis diente eine Pull Request im internen Code.
Kurz gesagt
Der Sicherheitsforscher s1r1us berichtet, zwei Schwachstellen verkettet zu haben, um die Kontrolle über ChatGPT/Codex-Konten zu übernehmen, darunter Konten von OpenAI-Mitarbeitern, und damit verbundene Dienste zu erreichen: Outlook, Slack, GitHub. Als Beweis diente eine Pull Request im internen Codebase von OpenAI, erzielt in unter 72 Stunden. Der Vorfall verdeutlicht die neue Schwachstelle von KI-Assistenten: Es sind keine Chatbots mehr, sondern Konten, die mit der gesamten Infrastruktur eines Unternehmens verbunden sind.
🍺 Tresen-Version
Zwei Lücken, drei Tage, und schon pushen Forscher Code ins interne Repository von OpenAI. Der eigentliche Stich sitzt nicht im ChatGPT-Konto selbst: Es ist die Tatsache, dass dieses Konto die Schlüssel zu Outlook, Slack und GitHub hält – wie ein Schlüsselbund, den man großzügig an die Eingangstür geklebt hat. Zwei Jahre lang haben wir KI-Assistenten gebeten, sich mit allem zu verbinden, und stellen nun ergriffen fest, dass „mit allem verbunden“ auch „überall kompromittiert“ bedeutet. Wenn der Agent die Rechte eines Kollegen hat, kommt der Diebstahl einer Einstellung eines Eindringlings mit Badge gleich.
Das Wichtigste
- 1
s1r1us gibt öffentlich bekannt, am 25. Juli ChatGPT- und Codex-Konten kompromittiert zu haben, darunter Konten von OpenAI-Mitarbeitern und einiger nicht angeschlossener Nutzer.
- 2
Zwei verkettete Schwachstellen genügten für eine vollständige Kontoübernahme (Account Takeover).
- 3
Die Kompromittierung beschränkte sich nicht auf ChatGPT: Sie ermöglichte Zugriff auf verbundene Dienste, genannt werden Outlook, Slack und GitHub.
- 4
Als Wirkungsnachweis diente eine im internen Codebase von OpenAI hinterlegte Pull Request.
- 5
Die gesamte Angriffskette soll weniger als 72 Stunden gedauert haben.
- 6
Der Thread wurde nachträglich veröffentlicht, was auf eine koordinierte Offenlegung mit Fix hindeutet, auch wenn der Eröffnungstweet dies nicht explizit erwähnt.
Was die Ankündigung besagt
Die Eröffnungsnachricht des Threads ist klar: „On July 25, we hacked OpenAI.“ Zwei in Kette ausgenutzte Bugs sollen die Kontrolle über ChatGPT- und Codex-Konten von OpenAI-Mitarbeitern sowie einiger nicht mit dem Unternehmen verbundener Nutzer ermöglicht haben.
Die angegebene Reichweite geht über das Produkt selbst hinaus. Nach der Kontoübernahme sollen die Forscher Zugriff auf die verbundenen Dienste erlangt haben: Outlook, Slack, GitHub, wobei die Liste durch ein „etc.“ ausdrücklich offen gelassen wird.
Die abschließende Demonstration ist für einen Ingenieur der aussagekräftigste Teil: eine Pull Request, hinterlegt im internen Codebase von OpenAI. Das ist kein Screenshot einer gestohlenen Session mehr, sondern eine geschriebene Aktion im Produktionssystem eines Unternehmens. Und das alles in unter 72 Stunden.
Warum ein Codex-Konto kein Konto wie jedes andere ist
Ein gewöhnliches ChatGPT-Konto gewährt Zugang zu einem Gesprächsverlauf, was bereits sensibel ist. Ein Codex-Konto hingegen ist ein Entwicklungskonto: Es ist an Code-Repositories angebunden, führt Aufgaben aus, erzeugt Commits.
Der Unterschied ist im Hinblick auf das Bedrohungsmodell grundlegend. Eine Chatbot-Session zu stehlen bedeutet Datenexfiltration. Eine Agenten-Session für Code zu stehlen bedeutet, eine Handlungsfähigkeit innerhalb des Unternehmensperimeters mit den Rechten eines Angestellten zu erlangen.
Genau das materialisiert die im Thread genannte Pull Request. Die Frage ist nicht mehr „was konnte der Angreifer lesen“, sondern „was konnte der Angreifer schreiben“.
Der wahre Schuldige: die Angriffsfläche der Konnektoren
Seit zwei Jahren treibt die Branche den KI-Assistenten ins Zentrum des Arbeitsplatzes. Man bindet ihn an E-Mail, internen Chat, Code-Verwaltung, Drive, CRM. Jeder Konnektor ist ein weiteres Zugriffstoken, das hinter einer einzigen Identität gespeichert wird.
Diese Architektur konzentriert das Risiko auf dramatische Weise. Das Konto des Assistenten wird zu einem Konvergenzpunkt von Berechtigungen, die historisch zwischen mehreren Tools und mehreren Authentifizierungsverfahren getrennt waren.
Die Ankündigung von s1r1us liefert dieser theoretischen Sorge einen konkreten Fall: zwei Anwendungsbugs, und die Kette breitet sich vom Assistenten bis zu Outlook, Slack und GitHub aus. Die Sicherheit des Ganzen reduziert sich auf die Sicherheit des schwächsten Authentifizierungsglieds.
Was der Tweet nicht sagt
Die Eröffnungsnachricht beschreibt weder die technische Natur der beiden Schwachstellen noch den genauen anfänglichen Angriffsvektor noch die exakte Anzahl betroffener Konten. Auch eine offizielle Reaktion von OpenAI oder eine Bug-Bounty-Summe werden nicht erwähnt.
Dass die Veröffentlichung deutlich nach dem 25. Juli erfolgt, ist ein üblicher Hinweis auf eine verantwortungsvolle Offenlegung: Die Forscher melden, der Anbieter behebt, der Thread erscheint anschließend. Solange jedoch keine öffentliche Bestätigung vorliegt, bleibt dies eine wahrscheinliche Deutung und keine von der Quelle belegte Tatsache.
Zum jetzigen Zeitpunkt sollte man die Ankündigung daher für das nehmen, was sie ist: die Erstlingsschilderung eines Forscherteams, mit einem starken Wirkungsnachweis und technischen Details, die für die Fortsetzung des Threads angekündigt werden.
“On July 25, we hacked OpenAI.”
“We proved it with a PR in OpenAI's internal codebase. It took us <72h.”
Warum es zählt
Die Branche diskutiert seit Monaten abstrakt über „KI“-Risiken: Prompt Injection, Halluzinationen, Alignment. Dieser Vorfall holt das Thema zurück zu einer viel banaleren und viel gefährlicheren Realität: klassische Anwendungssicherheit. Zwei Authentifizierungsbugs genügen, um einen Assistenten in ein Einfallstor zu E-Mail, internem Chat und Quellcode eines der am meisten beobachteten Unternehmen der Welt zu verwandeln. Der kritische Punkt ist nicht das Modell, sondern der Berechtigungsumfang, der ihm anvertraut wurde. Solange Agenten die Zugriffsrechte eines Angestellten anhäufen, ohne dessen Kontrollen zu unterliegen (Zugriffsprüfung, MFA bei jedem Dienst, Segmentierung), wird jede Authentifizierungslücke im Assistenten automatisch zu einer Lücke im gesamten Unternehmen. Für CIOs, die Codex, Copilot oder Ähnliches intern einsetzen, lautet die direkte Lehre: die Konnektoren prüfen, bevor man die Prompts prüft.
Weiterlesen
KIHeuteGPT-6 Astra: OpenAI überschreitet die „Critical“-Schwelle bei Cybersicherheit
Die System Card des neuen OpenAI-Modells dokumentiert einen bisher nie dagewesenen Schwellenübertritt — und räumt schwarz auf weiß ein, dass ein Modell, das bei Evaluierungen schummeln wollte, wahrscheinlich durchs Raster fallen würde.
DevHeuteClaude Code: Der dichteste Changelog der Branche
Hunderte Versionen, Tausende Patches: Anthropics Logbuch erzählt, wie man einen Coding-Agenten industrialisiert.
KIGestern10.000 Agenten, 88 Stunden, ein Millenniumsproblem
Noam Brown (OpenAI) beschreibt die Skalierung von Agenten-Schwärmen — und warum Alignment der einzige Engpass ist, der ihn wirklich beunruhigt.