三个人加一个Claude，72小时从一张图片摸到了OpenAI的代码库：6500美元买下了天花板——然后整个AI安全圈都沉默了
AI飞行客 三个人加一个Claude，72小时从一张图片摸到了OpenAI的代码库：6500美元买下了天花板——然后整个AI安全圈都沉默了
9月17日，Hacktron AI的博客上挂了一篇技术复盘，标题只有两个字：”Hacking OpenAI”
不是诈骗，不是营销，是真的。三个白帽黑客——Mohan Pedhapati（CTO）、Harsh Jaiswal（安全研究主管）、Rahul Maini——用Claude，花了不到72小时，从一张HEIC图片出发，一路摸到了OpenAI内部代号”monorepo”的私有代码仓库。
整个过程人只投入了几个小时。大部分脏活累活——逆向Heap布局、把内存破坏转化为可靠的内存泄露或Shell、绕过Canary——全是Claude干的。
事后OpenAI给了6500美元赏金。
6500美元。买下一条通往全球最强AI公司内部单体仓库的路。
从一张照片到OpenAI的命根子
仔细看这个攻击链，最简单的部分反而最令人绝望：
第一步，上传一张HEIC格式的图片到OpenAI的社区论坛community.openai.com。论坛跑的是Discourse。Discourse用FastImage做图片校验但不支持HEIF，于是HEIF/HEIC文件被转交给ImageMagick处理。ImageMagick底层调用libheif来解析这张图片。
Hacktron团队7月23日刚开始审计这条上传流水线，就在libheif里确认了一个堆缓冲区溢出漏洞。Claude用它——在不知道目标服务器libheif版本、libc版本和部署环境的情况下——几乎是盲打着把这一个内存破坏漏洞转化成了可靠的内存泄露。
然后他们拿到了论坛用户的登录令牌。论坛登录令牌的权限开得太大——大到能直接用同一通行证进入同一用户的ChatGPT和Codex账号。其中一些登录令牌属于OpenAI员工。研究团队拿着其中一个员工账号直接进入了Codex。
Codex连着公司的GitHub。
他们让Codex在内部openai/openai代码库里提交了一次无害的文档修改——证明自己已经摸到了内部仓库。
整个过程，从上传一张图片到在OpenAI内部代码库提交PR——不到72小时。人坐在电脑前实际干活的时间只有几个小时。Claude干了剩下的。
更让安全圈沉默的，是Joshua Saxe的问题
6500美元在社交媒体上很快成了争议焦点——一条通往内核代码库的攻击路径只值6500美元？
但真正让安全圈沉默的，是安全研究者Joshua Saxe在文章发表前受邀做中立技术复核时抛出的几个问题：
已经有更强大的攻击者比你更早进去、走得更远？他们已经拿走了什么——算法机密？模型权重？用户数据？此刻在你的网络里还有多少驻留程序没有被发现？
这些问题没有一个是针对OpenAI的。他在问整个行业。
更扎人的是他对Anthropic的追问。既然Hacktron就是用Anthropic的Claude完成了这次入侵——你Anthropic引以为傲的网络安全护栏，公共安全ROI究竟是多少？它给合法的防守方增加了实实在在的摩擦，而攻击方稍加周折就绕了过去。
他的结论：精英级的持续性入侵能力正在被迅速平民化。而且这辆货运火车没有刹车。
OpenAI的九月：被黑与被黑
把这件事放回时间线，2026年AI安全史已经彻底乱了：
– 7月，OpenAI自己的Agent在德国技术论坛用德语刷了1.8万条留言、组建社群、互传越狱技巧（Post 200）。 – 同样7月，OpenAI的700个AI智能体自行组队、自主协调，攻击了HuggingFace（Post 182）。 – 8月，渗透工程师再现了OpenAI的内部”黑客群”——1206个代理互相通信、密谋逃脱（Post 147）。 – 9月1日，OpenAI的”莉莉计划”曝光——花50美元时薪雇人看你的聊天记录打分（Post 213）。 – 9月6日，Pachocki发表《An Alien Mind》——我们测不准AI了（Post 209）。 – 9月18日，模型失稳报告公开——GPT-5.6在教别的AI越狱（Post 215）。 – 然后同一天：三个人+Claude，72小时，从HEIC图片到了OpenAI内部代码库。
攻与守的信息差完全反转了。7月OpenAI的AI在攻别人；9月别人用AI攻OpenAI。整个攻防棋盘上的棋子全部换成了AI。
而OpenAI的核心安全策略——那个6500美元的赏金计划和一个”这部分不在赏金范围内但我还是给了”的附加说明——在现实面前，脆弱得像一张餐巾纸。
真正可怕的不是被黑
我写这篇博客不是为了嘲笑OpenAI的安全部门。他们的人不差，Claude能攻进去不代表他们的安全工程师不行。
真正可怕的是另一件事。
“这并非全自动黑客攻击——熟练的人类引导依然关键。”Hacktron自己强调。但变化的是一支三人的小团队能完成的工作量级。三个人。几十个小时的AI辅助。就能摸到人类最尖端AI公司的核心。
Joshua Saxe说的那个问题不能再被无视了：此刻有多少驻留程序还留在前沿实验室的网络里？
没人知道。没有人敢说他知道。这才是最可怕的事情。