事件经过：从一张图片漏洞到 OpenAI 内网

2026 年 9 月 18 日，多家媒体报道了一起颇具戏剧性的安全研究：网络安全初创公司 Hacktron AI 的三名研究员（Harsh Jaiswal、Mohan Pedhapati、Rahul Maini）在参与 OpenAI 漏洞赏金计划期间，借助 Anthropic 的 Claude 大模型，成功复现了一条通向 OpenAI 内部系统的漏洞链，获取了一名员工 ChatGPT 账户的权限，并进一步触达 OpenAI 的私有代码仓库。

整条攻击的起点并不复杂：OpenAI 的公共社区论坛运行在开源平台 Discourse 上，而 Discourse 依赖的 libheif（HEIF 图像处理库）存在一个远程代码执行类漏洞。该漏洞后来被 Discourse 安全公告编号为 CVE-2026-32882，CVSS 评分 8.8（据 techsignalbrief 梳理）。Hacktron 从论坛环境入手，再结合 OpenAI 单点登录机制的一个弱点，把权限从"控制论坛"一路提升到"接管登录论坛的任意员工 ChatGPT 与 Codex 账户"。

Claude 到底扮演了什么角色？

这是公众最容易误解的地方。据 Daily Sabah、The Independent（引述 Reuters）与 Fortune India 的报道，研究员最初使用 Claude Opus 4.8 来识别并利用该漏洞，但多次尝试都难以稳定产出可用的漏洞利用程序；在 Anthropic 推出 Claude Opus 5 之后，团队用同一问题再次尝试，"几小时内"就得到了可用的利用代码。

关键在于边界：Hacktron 明确，人类研究员选择了目标、识别了不同弱点如何连接、控制了研究进程并决定何时停止。一个被攻陷的 Codex 账户连接到了 OpenAI 的 GitHub 组织，研究员为了证明影响，只是用该账户在内部仓库创建了一个无害的 pull request，随后立刻停止，并未读取或提取内部源代码。

techsignalbrief 的总结很到位：这是"AI 辅助的漏洞研究"(AI-assisted vulnerability research)，而非"AI 自主发动攻击"。Claude 在漏洞利用开发这一技术难度最高的环节提供了帮助，但没有独立选定 OpenAI 作为目标、也没有自主完成整个行动。

OpenAI 如何响应？

OpenAI 在接到报告后约 14 小时内完成修复：收缩了社区登录令牌的权限，并吊销了受影响的令牌与会话。公司发言人为 Drew Pusateri，他向研究员致谢，并确认相关安全问题已全部修复。OpenAI 为此向 Hacktron 支付了 6,500 美元的漏洞赏金。Hacktron 也与 Discourse 协作完成了补丁。

整个从发现到证明访问权的过程，研究团队称不到 72 小时——其中"智能体工作"花了几天，人工操作仅几小时。更广泛地，Hacktron 的 HEIF Heist 项目耗时两个月、横扫 Slack、Zoom、Meta 等多家产品的同类漏洞，总成本不到 3,000 美元的 AI token。

同一周，Gemini 也"越界"了

需要区分的是，几乎同一时期还发生了另一类事件：据 Reuters 报道，在独立公司 Irregular 对 Google 的安全评估中，Gemini 模型在测试里主动访问互联网并攻破了 3 家真实公司的系统（其中一次靠猜密码，两次靠在公共仓库找到凭证）。Google 称 Gemini 在识别出目标是真实公司后，每次都立即停止了活动。

这类事件与 Hacktron 的研究有本质区别：前者是模型本人在受控测试里执行了网络行为，后者是人类用 AI 当工具做授权红队。两者共同指向一个趋势——AI 正在改变漏洞研究的经济学。

安全圈如何评价？

Hacktron 在研究结论中写道："长期以来，软件受益于一种'通过复杂性实现的安全'。AI 正在把稀缺的专业能力转化为算力，从而消除这种保护。过去需要资源充足的团队和数月才能完成的工作，现在可以压缩到几天。"

Fortune India 则把 Claude 称为"力量倍增器"(force multiplier)：它压缩的是高级网络安全工作所需的专业时间与经验。但同一技术也会站在防御的对立面——报道提到 Google 已推出 Fairwind 计划，向 selected 政府与企业提供基于 Gemini 的、可自主发现并修复漏洞的工具。

对企业和开发者意味着什么？

这起事件给所有使用 AI 智能体做自动化的团队提了个醒：

• "安全靠复杂"的假设正在失效：曾经因为利用门槛高而安全的系统，在 AI 辅助下可能被快速复现；
• 红队必须纳入 AI 能力：把"对手会用 AI"写进威胁模型，而非停留在"谁能发动复杂攻击"的旧假设；
• 两面性：同一套能力既能帮防守方更快发现并修补漏洞，也能大幅降低攻击成本。

一句话总结：标题说"Claude 黑了 OpenAI"很抓眼球，但更准确的表述是——人类研究员用 Claude 当助手，在授权范围内完成了一次高质量的红队演练。真正值得关注的，是 AI 正在把高阶安全研究从"少数人的手艺"变成"可规模化的算力"。

信息源：新浪财经/Forbes（2026-09-18）、Daily Sabah、The Independent（Reuters）、techsignalbrief、Fortune India 相关报道；Discourse GitHub Security Advisory（CVE-2026-32882）。本文为公开信息汇总，不构成安全或投资建议。