Ein Angriffsweg für unter 3.000 Dollar an Token

Ein dreiköpfiges Team der Sicherheitsfirma Hacktron ist nach übereinstimmenden Medienberichten in weniger als 72 Stunden bis in ein Mitarbeiterkonto von OpenAI vorgedrungen — mit Modellen von Anthropic als Werkzeug. Der Einstieg lief nicht über das Unternehmen selbst, sondern über dessen Community-Forum, das bei einem Drittanbieter gehostet wird: Eine Schwachstelle in der Verarbeitung von HEIF-Bildern erlaubte dort das Ausführen fremden Codes, von da ging es weiter zu internen Anmeldungen und schließlich zu einem Konto mit Zugriff auf ein internes GitHub-Repository. Den dort liegenden Code las die Gruppe nicht, sie schickte stattdessen einen Pull Request als Nachweis. Die Lücken sind gemeldet und behoben, die Arbeit lief im Rahmen eines Bug-Bounty-Programms und wurde mit 6.500 Dollar vergütet.

Bemerkenswert ist weniger das Ziel als die Kennzahlen. Nach Angaben der Gruppe genügten ein bis zwei Tage, um denselben Angriffsweg auf ein weiteres Ziel anzupassen; genannt werden unter anderem Slack, Meta, GitHub Enterprise, Rails, Next.js und ImageMagick. Der Token-Verbrauch für das gesamte Vorhaben lag unter 3.000 Dollar, und aufgefallen sei der Vorgang nur bei einem einzigen der betroffenen Unternehmen. Einer der beiden Berichte ergänzt, dass die Gruppe dafür Zugang zu einem eigens für Sicherheitsfachleute gedachten Werkzeug des Modellanbieters hatte — der Technikchef der Firma beschreibt sein Team gegenüber der Presse dennoch als drei Leute mit gewöhnlichen Abos.

Einordnung

Die Lücke saß in einer zugekauften Komponente, nicht im eigenen Code — genau das Muster, das kleine Teams am härtesten trifft. Forensoftware, Bibliotheken für Bild- und Dateiverarbeitung, Build-Ketten: Alles, was fremde Dateien entgegennimmt, gehört auf dieselbe Patch-Liste wie die eigene Anwendung.

Verschoben hat sich vor allem die Kostenseite. Wer ein Suchverfahren einmal gebaut hat, überträgt es offenbar für dreistellige Beträge auf das nächste Ziel. Das beruhigende Argument, für ein kleines Projekt lohne sich der Aufwand eines Angriffs nicht, trägt damit weniger weit als noch vor einem Jahr.

Der unangenehmste Teil ist die Erkennung. Dass fast alle betroffenen Organisationen nichts bemerkt haben, sagt mehr über die Alarmierung aus als über die Schwachstelle. Zugriffe, die über zugekaufte Dienste hereinkommen, brauchen dieselbe Aufmerksamkeit wie die eigene Anmeldung.

Sämtliche Zahlen stammen aus Medienberichten und von der Gruppe selbst. Technische Einzelheiten sind nicht öffentlich nachprüfbar.