事件完整复盘：一张图片，如何触达 OpenAI 内部代码库

接好运鸭

事件背景：该次测试属于 OpenAI 官方漏洞赏金计划下的白帽安全研究，并非恶意黑客入侵，项目代号**HEIF 大劫案（HEIF Heist）**。3 人安全团队 Hacktron AI 借助 Claude Opus 5，仅用 72 小时、约 3000 美元 Token 成本，从一张恶意构造的 HEIC 图片出发，打通完整攻击链路，触达 OpenAI 内部代码仓库权限，引发行业对底层依赖、SSO 身份体系、AI 辅助攻防的广泛讨论。

Hacktron AI 团队一共三名安全研究员（Harsh Jaiswal、Mohan Pedhapati、Rahul Maini），均为 CTF 竞赛出身的白帽安全研究者。他们没有直接硬刚 OpenAI 主站、ChatGPT 核心服务，而是选择了容易被忽视的官方社区论坛community.openai.com作为突破口，论坛基于开源 Discourse 搭建，支持 OpenAI 账号单点登录（SSO）。

第一层：底层依赖 libheif，藏在图片解析里的堆溢出漏洞

Discourse 处理普通图片使用 FastImage，但该组件无法解析 iPhone 输出的 HEIC/HEIF 照片格式。遇到这类图片时，系统会交给 ImageMagick 处理，ImageMagick 又进一步调用底层开源解码库libheif完成解码工作，形成套娃式依赖调用链：

用户上传 HEIC 图片 → Discourse → ImageMagick → libheif

Hacktron 发现，Discourse 使用的 Debian12 镜像打包的libheif 1.19.7版本存在堆缓冲区溢出漏洞。极具讽刺的一点：上游早已提交漏洞修复代码，但是没有标记为安全补丁、没有分配 CVE 编号，Debian、Discourse 镜像都没有自动拉取该修复，大量线上服务默默带着漏洞运行，这正是互联网基础设施经典痛点 —— 整个庞大业务，依赖少数开发者维护的底层小众库，漏洞修复传导链条极慢。
研究员将 Discourse Docker 镜像交给 Claude Opus 做漏洞挖掘：

• Claude Opus4.8 可以定位漏洞，但生成的 EXP 无法绕过操作系统默认防护；
• Opus5 发布数小时后，同一套任务，模型直接生成可本地运行的溢出利用代码，再完成生产环境适配；
• 模型原生安全护栏会拒绝直接攻击真实线上目标；团队将测试环境伪装成 CTF 夺旗靶场，绕过安全约束，生成针对 Discourse 的完整利用代码。
  
  

上传特制恶意 HEIC 图片后，论坛服务器触发漏洞，实现远程代码执行 RCE，拿下论坛服务器控制权。

第二层：单点登录 SSO 缺陷，从论坛横向移动到员工账号

仅仅拿下社区论坛权限还不足以威胁 OpenAI 核心。真正的致命环节来自 OpenAI SSO 单点登录配置缺陷：论坛与 OpenAI 主账号打通，攻击者取得论坛服务器权限后，可利用该身份认证缺陷，接管所有登录过论坛的用户账号，其中包含 OpenAI 内部员工的 ChatGPT/Codex 账号，不需要受害者点击任何链接即可完成账号接管。
部分员工的 Codex 智能代理，预先授权绑定了企业 GitHub 组织权限，借此路径，研究团队获得访问 OpenAI 内部 Monorepo 代码仓库的入口。

重要事实：团队没有下载、窃取、阅读任何内部源代码。为证明权限可控，他们操纵员工 Codex 向内部仓库提交了一条无实际修改、无害的 PR 合并请求作为验证标记，完成后立刻停止所有操作，向 OpenAI 提交漏洞报告。

厂商响应

• OpenAI 收到漏洞报告后，14 小时内完成漏洞确认与修复，对图片处理服务增加沙箱隔离，阻断该攻击链路；9 月 1 日向 Hacktron 团队发放6500 美元漏洞赏金（仅针对 SSO 身份漏洞，论坛组件不在赏金覆盖范围）。
• Discourse 官方 7 月 28 日发布安全公告，重新构建 Docker 镜像，升级 libheif 并强化图片解析沙箱；Debian 同步推送 libheif 安全更新包。
  

延伸：HEIF 漏洞并非 OpenAI 独有

本次属于 Hacktron 代号 HEIF‑Heist 专项研究项目。同一类底层 libheif 漏洞，在两个月内被证实影响大量主流产品：Slack、Meta、Next.js 等，只要业务允许上传 HEIF/HEIC 图片，同时使用受影响版本 libheif，就具备被远程代码执行的风险。
本次事件留给行业的思考

• 底层依赖风险：大量业务的安全，维系在极少人维护的开源组件上。很多漏洞修复没有安全标签、没有 CVE，发行版、容器镜像不会自动更新，风险静默潜伏在生产环境；
• SSO 单点登录双刃剑：第三方外围系统一旦沦陷，单点登录会成为横向移动直达企业内部账号的高速通道；外围站点安全等级，必须等同于核心业务安全标准；
• AI 重塑攻防格局：大模型大幅降低漏洞分析、EXP 编写的时间成本。过去顶尖黑客需要数周完成的漏洞武器化，现在大模型数小时即可完成；同时 AI 安全护栏极易通过 “伪装成 CTF 靶场” 等方式绕过；
• AI 代理权限管控风险：当企业将 Codex 这类 AI 智能代理，绑定 GitHub、Slack、邮箱等高权限业务，一旦账号被接管，AI 代理就会成为攻击者直达企业内部的工具，必须严格收缩 AI 代理 OAuth 授权范围。