خلاصه روزانه
Claude Opus 5 از طریق نقص‌های زنجیره‌ای، حساب‌های کارکنان OpenAI را در اختیار گرفت.
محققان امنیتی از Claude Opus 5 برای ایجاد زنجیره‌ای از آسیب‌پذیری‌های وب و احراز هویت استفاده کردند و به حساب‌های داخلی و مخازن کد OpenAI دسترسی پیدا کردند.
5 خبر3 دقیقه مطالعه
محققان شرکت امنیتی Hacktron یک زنجیره حمله با کمک هوش مصنوعی را نشان دادند که با استفاده از Claude Opus 5 شرکت Anthropic، حساب‌های کاربری داخلی کارکنان OpenAI را به خطر می‌اندازد و به مخازن کد داخلی دسترسی پیدا می‌کند.
این حمله، یک آسیب‌پذیری در نرم‌افزار متن‌باز Discourse که انجمن پشتیبانی عمومی OpenAI را پشتیبانی می‌کند، با یک نقص ثانویه در سیستم احراز هویت سفارشی OpenAI ترکیب کرد. اجرای این حمله‌ی سرتاسری کمتر از ۷۲ ساعت طول کشید.
OpenAI ظرف ۱۴ ساعت پس از دریافت گزارش، اشکال احراز هویت را برطرف کرد و در اول سپتامبر ۶۵۰۰ دلار جایزه به تیم تحقیقاتی اعطا کرد. سازمان‌هایی که انجمن‌های عمومی مرتبط با ارائه‌دهندگان هویت داخلی را اداره می‌کنند، باید مرزهای احراز هویت بین دامنه‌ای را بررسی کنند.
کلود اوپوس ۵ به محققان کمک کرد تا از طریق نقص‌های زنجیره‌ای، حساب‌های کارکنان OpenAI را تصاحب کنند.
محققان Hacktron از Claude Opus 5 شرکت Anthropic برای اتصال یک نقص در نرم‌افزار انجمن پشتیبانی عمومی OpenAI به یک نقطه ضعف در سیستم ورود به سیستم OpenAI استفاده کردند. این امر به آنها اجازه داد تا به حساب‌های کاربری ChatGPT و Codex کارکنان OpenAI نفوذ کنند و در نهایت به طور غیرمجاز به مخزن کد داخلی OpenAI دسترسی پیدا کنند.
- چرا اهمیت دارد
- احراز هویت زنجیره‌ای و اشکالات انجمن‌های شخص ثالث می‌توانند SSO سازمانی و مخازن کد توسعه داخلی را به خطر بیندازند و IPهای حساس و حساب‌های کارمندان را در معرض خطر قرار دهند.
محققان از سندباکس OpenAI Codex فرار می‌کنند تا دستوراتی را روی میزبان اجرا کنند
محققان از دو طریق از سندباکس OpenAI Codex فرار کردند، یکی اجرای دستورات روی دستگاه توسعه‌دهنده از قفل‌شده‌ترین حالت آن.
- چرا اهمیت دارد
- هیچ جزئیات فنی، تأثیر فروشنده یا زمینه آسیب‌پذیری خاصی از صفحه منبع ارائه شده قابل بازیابی نیست.
حملات BragJack از طریق افزونه‌های مخرب، عامل‌های مرورگر هوش مصنوعی را می‌ربایند.
BragJack، یک حمله اثبات مفهوم از Gal Weizman از Forever Security، با استفاده از یک افزونه مخرب، دستیارهای هوش مصنوعی در Chrome، Edge، Opera Neon، Perplexity Comet و Claude را در Chrome می‌رباید.
- چرا اهمیت دارد
- هیچ جزئیات فنی، تأثیر فروشنده یا زمینه آسیب‌پذیری خاصی از صفحه منبع ارائه شده قابل بازیابی نیست.
هکرهای WaterPlum کره شمالی 30،000 دستگاه را در سراسر جهان آلوده کردند
یک اطلاعیه مشترک در مورد اجرای قانون هشدار می‌دهد که گروه هکری کره شمالی WaterPlum از دسامبر ۲۰۲۵ تا ژوئیه ۲۰۲۶ حداقل ۳۰،۰۰۰ دستگاه را در سراسر جهان به خطر انداخته و بیش از ۱۰.۷ میلیون دلار ارز دیجیتال سرقت شده را به کره شمالی منتقل کرده است.
- چرا اهمیت دارد
- هیچ جزئیات فنی، تأثیر فروشنده یا زمینه آسیب‌پذیری خاصی از صفحه منبع ارائه شده قابل بازیابی نیست.
ShinyHunters سایت نشت اطلاعات Clop را هک کرد و تهدید به اخاذی از اعضای باند باج‌افزار کرد.
گروه اخاذی ShinyHunters به سایت نشت اطلاعات عملیات باج‌افزار Clop (معروف به Cl0p) نفوذ کردند، سایت Tor را از کار انداختند و ظاهراً اطلاعات سرور و کلیدهای خصوصی سرویس onion آن را به سرقت بردند.
- چرا اهمیت دارد
- هیچ جزئیات فنی، تأثیر فروشنده یا زمینه آسیب‌پذیری خاصی از صفحه منبع ارائه شده قابل بازیابی نیست.
نکات کلیدی
- هکترون از Claude Opus 5 برای اتصال یک آسیب‌پذیری انجمن Discourse به یک نقص ورود به سیستم OpenAI استفاده کرد و حساب‌های کاربری ChatGPT و Codex کارکنان را به خطر انداخت.
- زنجیره حمله، دسترسی به مخزن کد داخلی OpenAI را ظرف ۷۲ ساعت پس از تجزیه و تحلیل اولیه امکان‌پذیر کرد.
- OpenAI نقص احراز هویت داخلی را ۱۴ ساعت پس از افشا برطرف کرد و ۶۵۰۰ دلار جایزه در ازای اشکال اعطا کرد.