Claude Opus 5 χάκαρε την OpenAI: Ερευνητές μπήκαν στα εσωτερικά της συστήματα σε 72 ώρες

Ερευνητές ασφαλείας της νεοφυούς εταιρείας Hacktron AI κατάφεραν να παραβιάσουν την υποδομή της OpenAI χρησιμοποιώντας το Claude Opus 5 της Anthropic ως εργαλείο, σε ένα σενάριο που περιγράφει με σαφήνεια πώς τα σύγχρονα μοντέλα AI ανατρέπουν την ισορροπία δυνάμεων μεταξύ επίθεσης και άμυνας. Η ομάδα των τριών ερευνητών συνέδεσε σε αλυσίδα δύο κρίσιμες ευπάθειες, απέκτησε πρόσβαση σε λογαριασμούς εργαζομένων της OpenAI στο ChatGPT και στο Codex, και έφτασε μέχρι το εσωτερικό αποθετήριο κώδικα της εταιρείας — όλα σε λιγότερο από 72 ώρες.

Η αναφορά έγινε στο πλαίσιο του bug-bounty προγράμματος της OpenAI μέσω Bugcrowd — περισσότερες λεπτομέρειες της υπόθεσης έχουν δημοσιευθεί στο TechCrunch. Η OpenAI αναγνώρισε τα ευρήματα και κατέβαλε αμοιβή 6.500 δολαρίων, επιδιορθώνοντας την ευπάθεια σε περίπου 14 ώρες. Το ενδιαφέρον της υπόθεσης δεν είναι μόνο το τεχνικό: είναι το πώς η νεότερη γενιά μοντέλων AI — και συγκεκριμένα το Opus 5 — έκανε τη διαφορά όπου μια προηγούμενη έκδοση απέτυχε.

Δείτε επίσης το ρεπορτάζ μας για την πρόσφατη αναφορά της Anthropic για κατάχρηση του Claude, που κατέγραψε βιομηχανικής κλίμακας εκστρατείες κατάχρησης μοντέλων.

Πώς το Claude Opus 5 «άνοιξε» την OpenAI σε 72 ώρες

Στις 25 Ιουλίου 2026, οι ερευνητές της Hacktron AI εστίασαν την έρευνά τους στο φόρουμ κοινότητας της OpenAI, το οποίο τρέχει στην πλατφόρμα Discourse. Ο στόχος τους δεν ήταν η ίδια η OpenAI αλλά το third-party λογισμικό — μια συνηθισμένη διαδρομή για επίθεση εφοδιαστικής αλυσίδας. Εκείνη την ίδια ημέρα ξεκίνησαν να δουλεύουν με το Claude Opus 4.8, την ειδική έκδοση για ερευνητές κυβερνοασφάλειας που παρέχει η Anthropic. Το μοντέλο δεν κατάφερε να παράγει λειτουργικό exploit σε πολλαπλές συνεδρίες.

Το βράδυ της ίδιας ημέρας, η Anthropic κυκλοφόρησε το Claude Opus 5. Οι ερευνητές έδωσαν το ίδιο ακριβώς πρόβλημα στο νέο μοντέλο. Μέσα σε λίγες ώρες, το Claude Opus 5 παρήγαγε το πρώτο λειτουργικό exploit για αρχιτεκτονική ARM64 και στη συνέχεια το προσάρμοσε στο x86-64 περιβάλλον jemalloc του Discourse. Η OpenAI επιβεβαίωσε τη διόρθωση σε 14 ώρες από την αναφορά, ενώ το Discourse εξέδωσε επίσημη ενημέρωση στις 28 Ιουλίου με CVSS score 8.8.

Χρονοδιάγραμμα της επίθεσης

Το πλήρες χρονοδιάγραμμα της επίθεσης δείχνει καθαρά τη διαφορά που φέρνει το Claude Opus 5 στην ανάπτυξη λειτουργικού exploit. Η αλληλουχία γεγονότων είναι εντυπωσιακά συμπυκνωμένη — από την πρώτη διερεύνηση μέχρι την πλήρη πρόσβαση σε repository πέρασαν λιγότερες από 72 ώρες, με τη διόρθωση στην OpenAI να ολοκληρώνεται σε ένα κλάσμα του χρόνου που παραδοσιακά χρειάζεται για τέτοιου είδους ζητήματα εφοδιαστικής αλυσίδας.

• 25 Ιουλίου, πρωί: Η Hacktron εντοπίζει διαδρομή εισόδου μέσω Discourse image upload.
• 25 Ιουλίου, ημέρα: Το Claude Opus 4.8 δοκιμάζεται σε αρκετές συνεδρίες αλλά αποτυγχάνει με ASLR ενεργό.
• 24-25 Ιουλίου, βράδυ: Η Anthropic κυκλοφορεί το Claude Opus 5 — αλλαγή σκηνικού.
• Μέσα σε 3 ώρες: Το Claude Opus 5 παράγει λειτουργικό ARM64 exploit.
• Λίγες ώρες μετά: Προσαρμογή σε x86-64 και jemalloc για το Discourse.
• 25 Ιουλίου, βράδυ: Αναφορά μέσω Bugcrowd στην OpenAI και Discourse.
• +14 ώρες: Η OpenAI επιβεβαιώνει τη διόρθωση στην πλευρά της.
• 27-28 Ιουλίου: Το Discourse εκδίδει επίσημη ενημέρωση με CVSS 8.8.

Η αλυσίδα ευπάθειας: από HEIC εικόνα σε RCE

Το σημείο εισόδου ήταν ενοχλητικά κοινότοπο: ένα upload εικόνας. Όταν ένας χρήστης ανέβαζε στο φόρουμ αρχείο τύπου HEIF ή HEIC — το format που χρησιμοποιούν από προεπιλογή τα iPhone — το Discourse το περνούσε από αλυσίδα εργαλείων για μετατροπή σε JPEG. Πρώτος σταθμός ήταν το ImageMagick, που δεν χειρίζεται απευθείας το format της Apple και παρέπεμπε την αποκωδικοποίηση στη βιβλιοθήκη libheif. Εκεί κρυβόταν το πρόβλημα.

• Heap buffer overflow στη libheif 1.19.7 σε Debian 12, με out-of-bounds read/write primitives κατά την αποκωδικοποίηση κακόβουλης εικόνας HEIC.
• Missing CVE: το bug είχε διορθωθεί upstream μήνες νωρίτερα, αλλά χωρίς επίσημο CVE identifier — γι’ αυτό το Discourse έτρεχε ευάλωτη έκδοση.
• Αλυσίδα εργαλείων: Discourse → ImageMagick → libheif, με την κακόβουλη εικόνα να προκαλεί λανθασμένο υπολογισμό δείκτη μνήμης και κατάληψη του server.
• SSO misconfiguration: αφού απέκτησαν RCE στον Discourse server, οι ερευνητές εκμεταλλεύτηκαν λάθος ρύθμιση single sign-on για να πάρουν λογαριασμούς εργαζομένων.
• ChatGPT και Codex accounts: ο συμβιβασμένος λογαριασμός είχε συνδεδεμένο το Codex με το GitHub, δίνοντας πρόσβαση στο εσωτερικό monorepo της OpenAI.

Γιατί το Opus 5 πέτυχε εκεί που το Opus 4.8 απέτυχε

Ο κρίσιμος περιορισμός για το Claude Opus 4.8 ήταν η Address Space Layout Randomization (ASLR). Το μοντέλο δεν μπορούσε να παράγει αξιόπιστο exploit απέναντι σε ASLR-enabled στόχο, ένα κλασικό εμπόδιο για επιθέσεις memory corruption. Το Claude Opus 5, σύμφωνα με τη Hacktron, «πέτυχε» όταν του δόθηκε το ίδιο ακριβώς πρόβλημα, δουλεύοντας σε autonomous loop απέναντι στην τοπική εγκατάσταση Discourse. Δεν χρειάστηκε ειδική εκπαίδευση σε offensive tasks — τα κέρδη είναι byproduct γενικότερων βελτιώσεων του μοντέλου.

Η ίδια η Anthropic έχει τεκμηριώσει τη διαφορά στο system card του Claude Opus 5: το μοντέλο εντοπίζει vulnerabilities σε ρυθμό κοντά στο Mythos 5, αλλά υστερεί στη μετατροπή τους σε λειτουργικά exploits — μια σκόπιμη επιλογή, γιατί το Claude Opus 5 δεν εκπαιδεύτηκε σε offensive cyber tasks. Στην πράξη, όμως, οι εξωτερικές αξιολογήσεις από το UK AI Security Institute έδειξαν ότι το Claude Opus 5 έλυσε enterprise-network σενάρια σε 8 από 10 προσπάθειες, όταν είχε ήδη πρόσβαση στο δίκτυο. Πρόκειται για ποιοτικό άλμα που καθιστά την προηγούμενη γενιά μοντέλων σχεδόν παρωχημένη σε αυτή τη διάσταση.

Συγκριτικά, τα αριθμητικά ευρήματα από τις εσωτερικές μετρήσεις της Anthropic οριοθετούν καθαρά την πρόοδο της νέας γενιάς στην ανακάλυψη και εκμετάλλευση ευπαθειών:

• OSS-Fuzz επιτυχία: Claude Opus 5 79,4% έναντι 38,5% του Opus 4.8 — σχεδόν διπλασιασμός.
• ExploitBench επιτυχίες: 99 ολοκληρωμένα exploits από το νεότερο μοντέλο — επίπεδο που ήταν προηγουμένως εκτός εμβέλειας για το Opus 4.8.
• Firefox 147 evaluation: 52,4% επιτυχία με το νέο μοντέλο, αξιοσημείωτη βελτίωση.
• ExploitGym αξιολόγηση: σημαντική βελτίωση έναντι του 4.8 σε παράθυρο 2 ωρών, πλησιάζει το Mythos 5.
• ARM64 exploit: παρήχθη σε 3 ώρες — εργασία εβδομάδων για έναν ανθρώπινο ειδικό.

Ποιοι πλήττονται και ποιοι όχι

Το πρόβλημα δεν περιορίζεται στην OpenAI. Η libheif είναι διαδεδομένη βιβλιοθήκη που υπάρχει σε πληθώρα πλατφορμών, από Slack και Meta μέχρι GitHub Enterprise, Ruby on Rails και ScreenConnect. Οποιαδήποτε εφαρμογή δέχεται user-uploaded HEIC, HEIF ή AVIF αρχεία και τα επεξεργάζεται με ImageMagick, libvips ή sharp είναι πιθανώς εκτεθειμένη. Δείτε επίσης πώς εξηγούμε τη χρήση ChatGPT χωρίς διαρροή προσωπικών δεδομένων, ως δείγμα ότι η ασφαλής χρήση εργαλείων AI απαιτεί συστημική προσοχή.

• Discourse: κυκλοφόρησε την ενημέρωση με advisory GHSA-vhm9-85gw-x335, προσθέτοντας sandboxing στην επεξεργασία εικόνας.
• libheif: αναβάθμιση σε 1.23.2 ή νεότερη μαζί με ενημερωμένη libde265.
• Debian: τα διορθωμένα libheif packages διανεμήθηκαν στις 8 Αυγούστου 2026.
• Απενεργοποίηση: untrusted HEIF και AVIF decoding όπου δεν χρειάζεται, ή απομόνωση σε hardened ephemeral sandbox.
• Διαμόρφωση SSO: έλεγχος για tokens με υπερβολικά ευρέα δικαιώματα και συχνή ανανέωση.

Τι σημαίνει για την κυβερνοασφάλεια

Η υπόθεση δείχνει με πρακτικό τρόπο μια βαθιά αλλαγή στην ισορροπία δυνάμεων μεταξύ επίθεσης και άμυνας. Το βήμα που παραδοσιακά απαιτεί εβδομάδες εργασίας από εξειδικευμένο επαγγελματία — η ανάπτυξη λειτουργικού memory-corruption exploit — έγινε από ένα μοντέλο AI σε λίγες ώρες. Οι αμυντικές ομάδες δεν έχουν πλέον την πολυτέλεια να βασίζονται στη δυσκολία exploitation ως αμυντικό μηχανισμό. Η τεχνική ομάδα του SecNews σημειώνει ότι η αντιμετώπιση απαιτεί πολυεπίπεδη προσέγγιση: γρήγορο patching, sandboxing untrusted content και αυστηρή διαχείριση SSO tokens.

Παράλληλα, η υπόθεση αναδεικνύει το κενό στη διαδικασία CVE. Το bug είχε ήδη διορθωθεί upstream χωρίς να χαρακτηριστεί ευπάθεια, με αποτέλεσμα να μη φτάσει στα scanners και τα package managers που παρακολουθούν CVE feeds. Πρόκειται για γενικότερο πρόβλημα της open-source εφοδιαστικής αλυσίδας, που ενισχύεται δραματικά όταν τα μοντέλα AI μπορούν να εντοπίζουν και να εκμεταλλεύονται τέτοιες αθόρυβες διορθώσεις σε ώρες.

Πρακτικά μέτρα προστασίας

Για οργανισμούς που χειρίζονται user-uploaded εικόνες, η τεχνική ομάδα του SecNews συνιστά συγκεκριμένες κινήσεις άμεσα, χωρίς αναμονή του επόμενου κύκλου ενημερώσεων. Δείτε επίσης το ρεπορτάζ μας για τις νέες υποχρεώσεις του EU Cyber Resilience Act, που καθιερώνει συνεχή συμμόρφωση για software supply chain.

1. Άμεση αναβάθμιση libheif σε 1.23.2+ και libde265 στην τελευταία έκδοση.
2. Πλήρες patching Discourse (advisory GHSA-vhm9-85gw-x335) και όλων των εφαρμογών που καταναλώνουν HEIC/HEIF/AVIF.
3. Sandboxing image processing pipelines με container isolation ή seccomp filtering.
4. Έλεγχος SSO: εντοπισμός tokens με υπερβολικά ευρέα δικαιώματα σε πλατφόρμες κοινότητας και υπηρεσίες τρίτων.
5. Monitoring για επικοινωνία εικονο-επεξεργαστικών βιβλιοθηκών με εξωτερικά endpoints.

Συχνές ερωτήσεις

Παραβίασε πραγματικά η Anthropic την OpenAI; Όχι — οι ερευνητές της Hacktron χρησιμοποίησαν το Claude ως εργαλείο ανάπτυξης exploit. Το ίδιο το Claude δεν πραγματοποίησε την επίθεση αυτόνομα. Η δράση ήταν συνειδητή εργασία στο πλαίσιο νόμιμου bug-bounty προγράμματος.

Ποια είναι η βασική διαφορά Opus 4.8 και Opus 5 στο συγκεκριμένο σενάριο; Το Opus 4.8 δεν μπόρεσε να παρακάμψει το ASLR σε πολλαπλές συνεδρίες. Το Opus 5 παρήγαγε λειτουργικό exploit σε λίγες ώρες με το ίδιο πρόβλημα, δείχνοντας ότι κάθε νέα γενιά μοντέλων μειώνει δραματικά τον χρόνο ανάπτυξης exploit.

Τι πρέπει να κάνει η επιχείρησή μου; Άμεση αναβάθμιση libheif σε 1.23.2+, patching Discourse εφόσον το χρησιμοποιείτε, sandboxing image processing και έλεγχος SSO configurations. Δείτε τα πλήρη βήματα στη σχετική ενότητα του άρθρου.

Η ίδια η Anthropic έχει τοποθετηθεί δημόσια ότι οι δυνατότητες του μοντέλου προορίζονται για ενίσχυση αμυντικών ομάδων και ερευνητών ασφαλείας μέσω του Cyber Verification Program της εταιρείας, όχι για τη διευκόλυνση επιθέσεων. Η πραγματικότητα της υπόθεσης Hacktron δείχνει ότι το ίδιο εργαλείο, στα χέρια νόμιμων ερευνητών ή κακόβουλων παραγόντων, οδηγεί στα ίδια αποτελέσματα — το ζήτημα είναι πλέον οι διαδικασίες και τα πλαίσια χρήσης, όχι η ίδια η δυνατότητα.

Το περιστατικό της Hacktron δεν είναι απλώς ένα ενδιαφέρον proof-of-concept — είναι σαφής ένδειξη για το πού βρίσκεται η κυβερνοασφάλεια το 2026. Όταν ένα ευρέως διαθέσιμο μοντέλο AI μπορεί να παράγει memory-corruption exploit σε λίγες ώρες, η επιτακτικότητα του γρήγορου patching, του αυστηρά περιορισμένου SSO scope και του σχεδιασμού πολυεπίπεδης άμυνας δεν είναι πλέον καλή πρακτική — είναι επιχειρησιακή προϋπόθεση επιβίωσης.