Fakten im Überblick
Sicherheitsforscher von Hacktron nutzten Claude Opus 5, um Schwachstellen rund um das OpenAI-Hilfsforum auszunutzen.
Die Forscher gelangten über Mitarbeiterkonten bis in die interne GitHub-Umgebung von OpenAI.
OpenAI schloss die gemeldete eigene Sicherheitslücke und zahlte Hacktron eine Prämie von 6500 Dollar.
Einer kleinen Gruppe von Sicherheitsforschern ist ein bemerkenswerter Einbruch in Systeme von OpenAI gelungen – ausgerechnet mit Unterstützung eines KI-Modells des Konkurrenten Anthropic. Das Team der Cybersicherheitsfirma Hacktron nutzte Claude Opus 5, um eine Angriffskette zu entwickeln, die beim öffentlichen Community-Forum von OpenAI begann und schließlich Zugriff auf Konten von OpenAI-Mitarbeitern sowie die interne GitHub-Umgebung des ChatGPT-Entwicklers ermöglichte. Nach übereinstimmenden Berichten handelte es sich um Sicherheitsforschung im Rahmen eines Bug-Bounty-Programms und nicht um einen kriminellen Angriff. Hacktron meldete die Schwachstellen nach eigenen Angaben verantwortungsvoll an OpenAI und andere betroffene Stellen. OpenAI bestätigte, die Probleme behoben zu haben, und zahlte den Forschern für den OpenAI betreffenden Teil der Schwachstelle eine Belohnung von 6500 Dollar.
Der Ausgangspunkt des Angriffs lag nicht unmittelbar in ChatGPT, sondern im Community-Forum von OpenAI, das auf der weitverbreiteten Forensoftware Discourse basiert. Bei der Verarbeitung bestimmter HEIF- beziehungsweise HEIC-Bilddateien kam eine verwundbare Version der Bildbibliothek libheif zum Einsatz. Über eine speziell präparierte Datei konnten die Forscher eine Speicherlücke ausnutzen und Code auf dem System ausführen. Besonders brisant ist die Rolle der Künstlichen Intelligenz: Ein zuvor getestetes Anthropic-Modell hatte Schwierigkeiten, einen unter realistischen Bedingungen funktionierenden Exploit zu entwickeln. Nachdem Anthropic am 24. Juli Claude Opus 5 veröffentlicht hatte, gelang dies dem neuen Modell nach Angaben der Forscher innerhalb weniger Stunden. Anthropic selbst beschreibt Opus 5 als deutlich verbessertes Modell für Softwareentwicklung und Wissensarbeit, das bei Cybersecurity-Aufgaben allerdings unterhalb der leistungsfähigeren Mythos-Klasse liegt.
Die Sicherheitslücke im Forum allein hätte noch keinen direkten Zugang zu zentralen OpenAI-Systemen bedeuten müssen. Entscheidend war eine zweite Schwachstelle bei der Anmeldung: Die für das Forum ausgestellten Authentifizierungs-Tokens verfügten nach Darstellung der Forscher über zu weitreichende Berechtigungen. Dadurch konnten sie auf verbundene ChatGPT- und Codex-Konten zugreifen, darunter Konten von OpenAI-Mitarbeitern. Bei einem dieser Mitarbeiter war Codex wiederum mit der GitHub-Umgebung von OpenAI verbunden. Die Forscher konnten damit bis zu einem privaten Code-Repository vordringen und demonstrierten ihren Zugriff mit einer harmlosen Änderung an einer Dokumentationsdatei beziehungsweise einem entsprechenden Pull Request. Nach eigenen Angaben stoppten sie an diesem Punkt und griffen nicht weiter auf vertraulichen Programmcode zu. OpenAI schränkte anschließend die Berechtigungen der betreffenden Anmelde-Tokens ein und widerrief betroffene Tokens und Sitzungen.
Der Fall ist deshalb von besonderer Bedeutung, weil er zeigt, wie stark moderne KI-Systeme die Arbeit in der Cybersicherheit beschleunigen können. Hochkomplexe Exploits erfordern traditionell Spezialwissen über Speicherverwaltung, Betriebssysteme, Prozessorarchitekturen und Sicherheitsmechanismen. Leistungsfähige KI-Modelle können inzwischen Teile dieser Arbeit übernehmen und damit sowohl Verteidigern als auch potenziellen Angreifern neue Möglichkeiten eröffnen. Hacktron untersuchte im Rahmen seines Projekts „HEIF Heist“ nach eigenen Angaben nicht nur OpenAI, sondern ähnliche technische Konstellationen bei weiteren großen Plattformen. Die Erkenntnisse unterstreichen damit ein grundsätzliches Problem moderner Software: Selbst technologisch hochentwickelte Unternehmen hängen von zahlreichen externen Bibliotheken, Open-Source-Komponenten und miteinander verbundenen Anmeldesystemen ab. Eine einzelne Schwachstelle kann dadurch zum Ausgangspunkt einer wesentlich größeren Angriffskette werden.
Zusätzliche Brisanz erhält der Vorgang durch die rasante Entwicklung noch leistungsfähigerer KI-Modelle. Anthropic bietet inzwischen mit Claude Mythos 5.1 ein Modell an, das ausdrücklich besonders starke Fähigkeiten in Bereichen wie Cybersicherheit besitzt. Der Zugang ist deshalb eingeschränkt und für überprüfte Organisationen vorgesehen. Anthropic weist selbst darauf hin, dass derartige Fähigkeiten sowohl für legitime Sicherheitsforschung als auch für schädliche Zwecke eingesetzt werden könnten. Genau darin liegt die grundsätzliche Herausforderung, die der OpenAI-Fall sichtbar macht: Dieselbe KI, die Unternehmen dabei unterstützen kann, gefährliche Sicherheitslücken schneller aufzuspüren, kann grundsätzlich auch die Entwicklung von Angriffen beschleunigen.
OZD/AFP
OZD-Kommentar – Wenn KI zum digitalen Dietrich wird
Der Fall OpenAI ist weniger eine Geschichte über einen einzelnen erfolgreichen Hack als eine Warnung vor einer neuen Geschwindigkeit im digitalen Wettrüsten. Dass Sicherheitsforscher KI einsetzen, um Schwachstellen aufzuspüren, ist zunächst positiv: Je schneller gefährliche Lücken gefunden und geschlossen werden, desto sicherer können Systeme werden. Problematisch wird es dort, wo dieselben Fähigkeiten praktisch jedem Akteur zur Verfügung stehen und hochspezialisiertes Wissen teilweise durch leistungsfähige Modelle ersetzt werden kann. Dann sinkt die Hürde für komplexe Cyberangriffe. Unternehmen können sich deshalb nicht darauf verlassen, dass ihre Gegner weniger leistungsfähige Werkzeuge besitzen. OpenAI hat in diesem Fall von verantwortungsvollen Forschern profitiert, die ihren Zugriff begrenzten, die Schwachstellen meldeten und eine Prämie erhielten. Ein krimineller Angreifer hätte anders handeln können. Die realistische Prognose lautet deshalb: KI wird in den kommenden Jahren zu einem immer wichtigeren Werkzeug sowohl der Cyberabwehr als auch von Angreifern. Der entscheidende Wettbewerb wird darum geführt werden, wer Schwachstellen zuerst entdeckt – und wer schneller darauf reagiert.
Historischer Hintergrund
Cybersecurity und Künstliche Intelligenz wachsen seit Jahren immer enger zusammen. Zunächst wurden KI-Systeme vor allem eingesetzt, um ungewöhnliche Netzwerkaktivitäten zu erkennen, Schadsoftware zu analysieren oder große Mengen an Sicherheitsdaten auszuwerten. Mit leistungsfähigeren Sprach- und Coding-Modellen verändert sich diese Rolle grundlegend. Moderne Systeme können Programmcode verstehen, Fehler suchen und zunehmend auch komplexe technische Aufgaben selbstständig bearbeiten. Dadurch werden Tätigkeiten automatisierbar, für die bislang hochspezialisierte Sicherheitsforscher benötigt wurden. Der Fall Hacktron zeigt zugleich, wie wichtig sogenannte Bug-Bounty-Programme geworden sind. Unternehmen belohnen dabei externe Forscher, wenn diese Sicherheitslücken nach festgelegten Regeln aufspüren und vertraulich melden, statt sie auszunutzen oder zu verkaufen. Im konkreten Fall erhielt Hacktron von OpenAI 6500 Dollar.
Zukunftsprognose
Die wirtschaftlichen und politischen Folgen dieser Entwicklung könnten erheblich werden. Unternehmen werden voraussichtlich mehr Geld in automatisierte Sicherheitsprüfungen, sogenannte Red-Teaming-Verfahren und die Absicherung von Identitäts- und Zugriffsmanagement investieren müssen. Gleichzeitig dürfte die Nachfrage nach KI-gestützten Cybersecurity-Produkten wachsen. Für die Technologiebranche entsteht damit ein neues Wettrüsten: Leistungsfähigere Modelle verbessern die Verteidigung, können aber gleichzeitig neue Angriffsmöglichkeiten schaffen. Anthropic beschränkt den Zugang zu besonders leistungsfähigen Mythos-Modellen bereits auf überprüfte Organisationen und verweist ausdrücklich auf mögliche Missbrauchsrisiken. Für die Börsen bedeutet der einzelne OpenAI-Vorfall noch keinen automatisch messbaren Effekt. Langfristig könnten jedoch Unternehmen aus den Bereichen Cybersecurity, Cloud-Sicherheit und Identitätsmanagement von steigenden Sicherheitsausgaben profitieren. Gleichzeitig werden Investoren bei großen KI-Anbietern stärker darauf achten müssen, welche finanziellen und regulatorischen Risiken durch Cybervorfälle entstehen. Direkte Auswirkungen auf Rohstoffe oder Währungen sind aus diesem einzelnen Vorgang nicht abzuleiten.
Was ist Hacktron?
Hacktron AI ist ein auf KI und Cybersicherheit spezialisiertes Unternehmen. Seine Forscher untersuchen unter anderem, wie leistungsfähige KI-Modelle zur Entdeckung und Ausnutzung von Software-Schwachstellen eingesetzt werden können. Beim OpenAI-Fall arbeitete das Team im Rahmen verantwortungsvoller Sicherheitsforschung und meldete die entdeckten Probleme an die betroffenen Unternehmen.
Was ist Claude Opus 5?
Claude Opus 5 ist ein KI-Modell des US-Unternehmens Anthropic. Es wurde am 24. Juli 2026 veröffentlicht und verfügt gegenüber seinem Vorgänger über verbesserte Fähigkeiten unter anderem bei Softwareentwicklung und komplexen Wissensaufgaben. Anthropic stuft die eigene Mythos-Modellfamilie bei spezialisierten Cybersecurity-Aufgaben noch höher ein.
OZD-Extra – Der Angriff begann mit einem Bild
Ausgangspunkt der gesamten Angriffskette war ausgerechnet die Verarbeitung eines Bildformats, das Millionen Smartphone-Nutzer kennen. HEIC- und HEIF-Dateien werden unter anderem von Apple-Geräten verwendet. Bei der Verarbeitung solcher Dateien griff die Forumsoftware auf eine verwundbare Softwarebibliothek zurück. Aus einem scheinbar gewöhnlichen Bildupload entwickelte sich dadurch eine Angriffskette, die schließlich bis zu einem OpenAI-Mitarbeiterkonto und der internen GitHub-Umgebung führte. Der Vorgang zeigt exemplarisch, warum moderne IT-Sicherheit nicht nur die eigenen Programme eines Unternehmens betrachten kann: Eine Schwachstelle in einer externen Softwarekomponente kann zum Einfallstor für wesentlich größere Systeme werden.
Gewinnspiel
Welches KI-Modell unterstützte die Sicherheitsforscher bei der Entwicklung des funktionierenden Exploits?
A: Claude Opus 5
B: Gemini 4
C: Llama 6
D: Grok 7
Zum großen OZD-Gewinnspiel 2026 – Gutscheine gewinnen
Alle Angaben ohne Gewähr. Mit KI unterstützt. Titelbild AFP.