Claude Opus 5 hackte OpenAIs Forum im Bug-Bounty-Test
Ein Dreierteam von Hacktron AI verkettete zwei Lücken im Community-Forum von OpenAI – erfolgreich erst mit Opus 5, Prämie 6.500 US-Dollar.
Kurz gesagt
Drei Sicherheitsforscher des Start-ups Hacktron AI nutzten Anthropics Modell Opus 5, um über eine präparierte HEIF-Bilddatei das Community-Forum von OpenAI zu übernehmen und von dort auf Mitarbeiterkonten sowie die GitHub-Organisation des Unternehmens zuzugreifen.
Auf einen Blick
- Dreiköpfiges Team des Start-ups Hacktron AI; Opus 4.8 scheiterte über mehrere Sitzungen, Opus 5 gelang der Exploit binnen Stunden.
- Erster Einbruch am 25. Juli 2026; Discourse lieferte am 27. Juli 2026 einen Fix.
- Zwei verkettete Lücken: Speicherfehler in libheif plus Konto-Übernahme in Discourse.
- OpenAI zahlte 6.500 US-Dollar Bug-Bounty und bestätigte, dass die Schwachstellen behoben sind.
- Gray-Swan-CEO Matt Fredrikson: für 200 US-Dollar pro Monat stehe so ein Angriff praktisch jedem offen.
Ein dreiköpfiges Team des Sicherheits-Start-ups Hacktron AI hat mit Anthropics Modell Opus 5 das Community-Forum von OpenAI übernommen und darüber Zugriff auf ChatGPT- und Codex-Konten von OpenAI-Beschäftigten sowie auf die GitHub-Organisation des Unternehmens erlangt. OpenAI zahlte 6.500 US-Dollar über sein Bug-Bounty-Programm und bestätigte, dass die Schwachstellen geschlossen sind.
Der Einstieg war ein Bild-Upload
Angriffspunkt war nicht OpenAI selbst, sondern Discourse – die Fremdsoftware, auf der das Community-Forum läuft. Ein Rechenfehler bei der Speicherverwaltung in libheif, der Bibliothek für Apples Bildformat HEIF/HEIC, ließ sich über eine präparierte Bilddatei auslösen. Damit konnten die Forscher eigene Anweisungen auf dem Forum-Server ausführen.
Eine zweite Lücke in Discourse erlaubte anschließend die Übernahme von Nutzerkonten, darunter die von OpenAI-Mitarbeitern. Erst die Verkettung beider Fehler führte von einem gewöhnlichen Upload bis in die Konten. Den ersten Einbruch datiert TechCrunch auf den 25. Juli 2026, zwei Tage später lieferte Discourse einen Fix.
Opus 4.8 scheiterte, Opus 5 nicht
Bemerkenswert ist weniger die Lückenkette als der Zeitpunkt. Nach Darstellung von Hacktron-Gründer Mohan Pedhapati kam Opus 4.8 über mehrere Sitzungen zu keinem funktionierenden Exploit. Dieselbe Aufgabe habe Opus 5 wenige Stunden nach der Veröffentlichung gelöst.
Wie viel davon das Modell geleistet hat und wie viel die drei Menschen, geht aus dem Bericht nicht hervor. Der Sprung zwischen zwei Modellgenerationen verschob hier aber sichtbar die Grenze des Machbaren, bei unverändertem Aufwand auf der Angreiferseite.
Die Kostenseite
Matt Fredrikson, CEO des Sicherheitsunternehmens Gray Swan, ordnet den Fall über den Preis ein: Für 200 US-Dollar Abogebühr im Monat stehe diese Art von Werkzeug praktisch jedem offen – auch für einen Angriff auf ein Unternehmen wie OpenAI. Dem gegenüber steht eine Prämie von 6.500 US-Dollar für den gemeldeten Fund.
Was offen bleibt
Für diesen Artikel war nur der Bericht von TechCrunch abrufbar; die Darstellungen von Ars Technica und The Verge ließen sich technisch nicht laden und konnten nicht gegengelesen werden. Damit bleibt ungeprüft, wie weit der Zugriff auf die GitHub-Organisation reichte und welche Inhalte dort tatsächlich einsehbar waren.
Ebenso unbelegt ist, ob und wie Anthropics Schutzmechanismen in dem Versuch angesprochen haben. TechCrunch nennt für Opus 4.8 eine Variante für Sicherheitsforschende, sagt aber nichts über Verweigerungen oder eine Stellungnahme von Anthropic. Eine direkte Äußerung von OpenAI über die Bestätigung der Behebung hinaus ist nicht dokumentiert.
Häufige Fragen
Wurde OpenAI selbst gehackt?
Einstiegspunkt war Discourse, die Fremdsoftware hinter dem Community-Forum von OpenAI. Von dort gelangten die Forscher an ChatGPT- und Codex-Konten von Beschäftigten und an die GitHub-Organisation des Unternehmens.
Welches Claude-Modell wurde für den Angriff benutzt?
Opus 4.8 in der Variante für Sicherheitsforschende scheiterte über mehrere Sitzungen. Erfolgreich war Opus 5, wenige Stunden nach dessen Veröffentlichung.
Ist die Sicherheitslücke inzwischen geschlossen?
Discourse veröffentlichte am 27. Juli 2026 einen Fix, OpenAI bestätigte die Behebung und zahlte 6.500 US-Dollar Prämie. Wer eine eigene Discourse-Instanz mit Bild-Uploads betreibt, sollte auf aktuelle Versionen achten.
