« On July 25, we hacked OpenAI » : due bug, 72 ore, una PR interna
Il ricercatore s1r1us dichiara di aver preso il controllo di account ChatGPT e Codex di dipendenti OpenAI, dimostrandolo tramite una pull request nel codice interno.
In breve
Il ricercatore di sicurezza s1r1us afferma di aver concatenato due vulnerabilità che permettevano di prendere il controllo di account ChatGPT/Codex, inclusi quelli di dipendenti OpenAI, arrivando fino ai servizi collegati: Outlook, Slack, GitHub. La prova fornita è una pull request depositata nella codebase interna di OpenAI, ottenuta in meno di 72 ore. L'episodio mette in luce il nuovo punto debole degli assistenti IA: non sono più semplici chatbot, ma account collegati a tutta l'infrastruttura di un'azienda.
🍺 Versione da bancone
Due falle, tre giorni, e dei ricercatori si ritrovano a fare push di codice nel repository interno di OpenAI. Il dettaglio che fa male non è l'account ChatGPT in sé: è che quell'account custodisce le chiavi di Outlook, Slack e GitHub, come un mazzo di chiavi generosamente attaccato con lo scotch alla porta d'ingresso. Abbiamo passato due anni a chiedere agli assistenti IA di connettersi a tutto, e scopriamo con stupore che «connesso a tutto» significa anche «compromesso ovunque». Quando l'agente ha i diritti di un collega, rubarglieli equivale ad assumere un intruso con tanto di badge.
Da ricordare
- 1
s1r1us annuncia pubblicamente di aver compromesso account ChatGPT e Codex il 25 luglio, inclusi quelli di dipendenti OpenAI e alcuni utenti non affiliati.
- 2
Due vulnerabilità concatenate bastavano per realizzare una presa di controllo dell'account (account takeover).
- 3
La compromissione non si fermava a ChatGPT: dava accesso ai servizi collegati, con Outlook, Slack e GitHub citati esplicitamente.
- 4
La prova d'impatto è una pull request depositata nella codebase interna di OpenAI.
- 5
L'intera catena di exploit avrebbe richiesto meno di 72 ore.
- 6
Il thread viene pubblicato in un secondo momento, il che suggerisce una divulgazione coordinata con relativa correzione, anche se il tweet iniziale non lo specifica.
Cosa dice l'annuncio
Il messaggio di apertura del thread è netto: «On July 25, we hacked OpenAI.» Due bug, sfruttati in catena, avrebbero permesso di prendere il controllo di account ChatGPT e Codex appartenenti a dipendenti OpenAI, oltre che ad alcuni utenti senza legami con l'azienda.
La portata dichiarata va oltre il prodotto stesso. Una volta preso il controllo dell'account, i ricercatori affermano di aver raggiunto i servizi collegati: Outlook, Slack, GitHub, con l'elenco lasciato esplicitamente aperto da un «etc.».
La dimostrazione finale è la parte più eloquente per un ingegnere: una pull request depositata nella codebase interna di OpenAI. Non è più uno screenshot di una sessione rubata, è un'azione scritta nel sistema di produzione di un'azienda. Il tutto in meno di 72 ore.
Perché un account Codex non è un account come gli altri
Un account ChatGPT classico dà accesso a uno storico di conversazioni, il che è già sensibile. Un account Codex, invece, è un account di sviluppo: è collegato a repository di codice, esegue task, produce commit.
La differenza è fondamentale in termini di modello di minaccia. Rubare una sessione di chatbot significa esfiltrazione di dati. Rubare una sessione di un agente di codice significa ottenere una capacità d'azione all'interno del perimetro aziendale, con i diritti di un dipendente.
È esattamente ciò che materializza la pull request citata nel thread. La domanda non è più «cosa ha potuto leggere l'attaccante», ma «cosa ha potuto scrivere l'attaccante».
Il vero colpevole: la superficie dei connettori
Da due anni l'industria spinge l'assistente IA al centro della postazione di lavoro. Vi si collega la posta, la chat interna, il gestore di codice, il drive, il CRM. Ogni connettore è un token di accesso in più, custodito dietro un'unica identità.
Questa architettura concentra il rischio in modo spettacolare. L'account dell'assistente diventa un punto di convergenza di autorizzazioni che, storicamente, erano separate tra più strumenti e più procedure di autenticazione.
L'annuncio di s1r1us dà un caso concreto a questa preoccupazione teorica: due bug applicativi, e la catena si propaga dall'assistente fino a Outlook, Slack e GitHub. La sicurezza dell'insieme si riduce alla sicurezza dell'anello di autenticazione più debole.
Ciò che il tweet non dice
Il messaggio di apertura non dettaglia la natura tecnica delle due vulnerabilità, né il vettore iniziale esatto, né il numero preciso di account colpiti. Non menziona nemmeno una risposta ufficiale di OpenAI, né l'importo di un eventuale bug bounty.
Il fatto che la pubblicazione avvenga ben dopo il 25 luglio è l'indizio abituale di una divulgazione responsabile: i ricercatori segnalano, l'azienda corregge, il thread esce successivamente. Ma finché non viene allegata alcuna conferma pubblica, questa resta una lettura probabile e non un fatto stabilito dalla fonte.
A questo punto, occorre quindi trattare l'annuncio per quello che è: il racconto in prima persona di un team di ricercatori, con una forte prova d'impatto e dettagli tecnici rimandati al seguito del thread.
“On July 25, we hacked OpenAI.”
“We proved it with a PR in OpenAI's internal codebase. It took us <72h.”
Perché conta
Il settore discute da mesi dei rischi «IA» in modo astratto: prompt injection, allucinazioni, allineamento. Questo episodio riporta il tema a una realtà molto più banale e molto più pericolosa: la sicurezza applicativa classica. Due bug di autenticazione bastano a trasformare un assistente in una porta d'accesso verso la posta, la chat interna e il codice sorgente di una delle aziende più osservate al mondo. Il punto critico non è il modello, è il perimetro di autorizzazioni che gli è stato affidato. Finché gli agenti accumuleranno gli accessi di un dipendente senza subirne i controlli (revisione degli accessi, MFA su ogni servizio, segregazione), ogni falla di autenticazione sull'assistente sarà meccanicamente una falla su tutta l'azienda. Per i CIO che distribuiscono Codex, Copilot o equivalenti internamente, la lezione è diretta: verificare i connettori prima di verificare i prompt.
Da leggere anche
IAOggiGPT-6 Astra: OpenAI supera la soglia "Critical" nella cybersicurezza
La system card del nuovo modello di OpenAI sancisce un superamento inedito — e ammette, nero su bianco, che un modello intenzionato a barare nelle valutazioni probabilmente passerebbe inosservato.
IAIeri10.000 agenti, 88 ore, un problema del millennio
Noam Brown (OpenAI) descrive lo scaling degli sciami di agenti — e perché l'allineamento è diventato l'unico collo di bottiglia che lo preoccupa davvero.
IAIeriOpenAI pubblica i suoi fallimenti di allineamento — e un framework per andare avanti
Sei incidenti di comportamento deviante, un processo di divulgazione interna, e un'ammissione: il settore non ha risolto l'allineamento.