Güvenlik araştırmacıları Anthropic’in Claude modelini kullanarak OpenAI’nın sistemlerine sızdı.

Güvenlik dünyasının dikkatini çeken tuhaf bir gelişmeyle, bağımsız güvenlik araştırmacıları Anthropic‘in Claude adlı yapay zeka modelini kullanarak OpenAI’nın savunma mekanizmalarını aşıp şirketin yazılımlarına erişti. Hacktron AI isimli girişimin üç kişilik ekibi, saldırıyı OpenAI’nın hata avı (bug-bounty) programının bir parçası olarak gerçekleştirdi ve bulgularını şirkete iletti; OpenAI ise ekibe 6.500 dolar ödül verdi. Araştırmacılar, iki kritik açığı birbirine bağlayarak birden fazla OpenAI çalışanına ait ChatGPT hesabına erişim sağladı ve böylece şirketin yazılım ortamına giriş kapısını araladı.

Olayın ardından OpenAI, Hacktron’un ortaya çıkardığı açıkları giderdiğini belirtti. Bu gelişme, üst düzey yapay zeka şirketlerinin güvenlik konularında artan baskı altında olduğu bir döneme denk geliyor.

Saldırının teknik seyri: Basit bir görüntü yüklemeden sunucuya giriş

Araştırmacılar, sınıfa erişim yolunu 25 Temmuz’da Discourse’un yarattığı bir açık üzerinden buldu. OpenAI’nın topluluk forumunu çalıştıran üçüncü taraf yazılımı olan Discourse, HEIF veya HEIC biçimindeki görüntü dosyaları kullanıcılar tarafından yüklendiğinde, bunları standart JPEG’lere dönüştürmek için arka planda çalışan bir dizi aracın içinden geçiriyor. Bu araç zincirinin ilk durağı yıllardır kullanılan açık kaynaklı ImageMagick adlı görüntü boyutlandırma aracıydı. Apple’ın biçimini işleyemeyen ImageMagick, kodlamayı tamamlamak için dosyayı libheif adlı başka bir kütüphaneye devrediyordu.

libheif’in içinde gömülü olan bir bellek açığı, saldırganın kendi talimatlarını sızdırması için bir yol açıyordu. Araştırmacıların anlattığına göre, kütüphaneye özel biçimlendirilmiş bir görüntü beslemek, bir görüntünün başka bir görüntünün üzerinde nerede konumlandırılacağı hesaplanırken hataya düşmesine neden oldu ve bu da sunucuyu ele geçirmek için yeterli bulundu.

Açığın aylar önce düzeltildiği ancak resmi olarak işaretlenmediği

Güvenlik topluluğu için rahatsız edici olan şu: Bu açık, libheif geliştiricileri tarafından birkaç ay önce zaten düzeltilmişti. Ancak düzeltme resmen bir güvenlik açığı olarak bildirilmediğinden CVE (common vulnerabilities and exposures) numarası almadı; bu da sektörün bilinen güvenlik zayıflıklarını takip etmek için kullandığı standart yöntemdi. Hacktron, yazılımın hâlâ açık sürümü çalıştırmasının nedeninin bunun açıklayabileceğini öne sürüyor.

Araştırmacılar ayrıca kullandıkları Claude modelinin — siber güvenlik araştırmacılarına özel olarak sunulan Opus 4.8’in özel bir sürümünün — başlangıçta çalışır bir açık üretmekte zorlandığını belirtti. Bu durum, Anthropic’in Opus 5’i yayımladığı gece değişti.

“Opus 4.8 birkaç oturum boyunca çalışır bir açık üretmede zorlandı. Opus 5’in yayımlanmasından saatler sonra aynı soruyu sorduk ve bu kez başarılı oldu.”

Hacktron, blog yazısında

Sunucuya girdikten sonra araştırmacılar, kullanıcıların ChatGPT ve Codex hesaplarını — OpenAI çalışanlarına ait olanları dahil — ele geçirmelerine olanak tanıyan başka bir açık daha buldu.

“Sonrasında bir OpenAI çalışanının hesabını ele geçirdik; söz konusu çalışanın Codex’i, OpenAI’nın GitHub kuruluşuna bağlıydı.”

Hacktron, olaya dair özetinde

Bu aşamada araştırmacılar hem OpenAI hem de Discourse’u uyardı; Discourse 27 Temmuz’da bir düzeltme yayımladı.

Yapay zeka modellerinin siber saldırı kapasitesi nerede çizgiye ulaşıyor?

Olay, modellerin kapasiteleri için sınırın nerede belirlendiği konusuna ışık tutuyor. Açığı sonunda çözen Claude Opus 5’in, aksine daha yeni sürüm olan Mythos 5’in gelişmiş saldırı kapasitesi endişeleriyle geçici olarak kısıtlanması gibi herhangi bir güvenlik ihralat kısıtlamasına tabi tutulmadığı belirtildi.

Bunlar yalnızca kapalı modeller. Açık ağırlıklı modeller siber yeteneklerde giderek öne çıkan uç düzey modellere yaklaşıyor. Örneğin, yapay zeka güvenliği vakfı SaferAI yakın zamanda Çinli Z.ai şirketinin GLM-5.2 modelinin, OpenAI’nın GPT-5.5’i ve Anthropic’in Claude Opus 4.7’sinden yalnızca birkaç ay geride olduğunu tespit etti.

“Yapay zeka, açık üretimi için gereken kıt uzmanlık miktarını azaltıyor. Bir zamanlar aylar alan iş artık günler alabiliyor.”

Hacktron kurucusu Mohan Pedhapati, X’te

Bu arada AI güvenlik firması Gray Swan’ın CEO’su Matt Fredrikson da TechCrunch’a yaptığı açıklamada, bu araçları kullanmanın ne kadar yaygınlaştığını vurguladı.

“Ayda 200 dolar karşılığında anyone bu araçları kullanarak OpenAI gibi bir şirkete sızabilir. Onlara olabiliyorsa — ki son zamanlarda siber güvenlik hijyeninde gevşediklerini düşünmüyorum — herhangi birine de olabilİR.”

Matt Fredrikson, Gray Swan CEO’su

Bir yapay zeka yorumcusunun da sosyal medyada belirttiği gibi: “[Hacktron] Opus 5’i kullanarak saldırıyı gerçekleştirdi. Sorulacak soru şu: Bu üç kişi bunu başardıysa, bir devlet aktörü ne yapabilİR.”