GÜNLÜK BÜLTEN
Claude Opus 5, zincirleme güvenlik açıkları aracılığıyla OpenAI çalışanlarının hesaplarını ele geçirmek için kullanılıyordu.
Güvenlik araştırmacıları, Claude Opus 5'i kullanarak web ve kimlik doğrulama güvenlik açıklarını bir araya getirip OpenAI'nin iç hesaplarına ve kod depolarına erişim sağladı.
5 haber2 dk okuma
Güvenlik firması Hacktron'daki araştırmacılar, Anthropic'in Claude Opus 5'ini kullanarak OpenAI'nin dahili personel hesaplarını ele geçirmek ve dahili kod depolarına erişmek için yapay zeka destekli bir saldırı zinciri gösterdi.
Saldırı, OpenAI'nin herkese açık yardım forumunu destekleyen açık kaynaklı Discourse yazılımındaki bir güvenlik açığını, OpenAI'nin özel kimlik doğrulama sistemindeki ikincil bir kusurla birleştirdi. Uçtan uca güvenlik ihlali 72 saatten kısa sürede gerçekleşti.
OpenAI, raporu aldıktan sonraki 14 saat içinde kimlik doğrulama hatasını düzeltti ve 1 Eylül'de araştırma ekibine 6.500 dolarlık bir ödül verdi. Dahili kimlik sağlayıcılarına bağlı halka açık topluluk forumları işleten kuruluşlar, alanlar arası kimlik doğrulama sınırlarını gözden geçirmelidir.
Claude Opus 5, zincirleme güvenlik açıkları aracılığıyla araştırmacıların OpenAI çalışanlarının hesaplarını ele geçirmesine yardımcı oldu.
Hacktron'daki araştırmacılar, OpenAI'nin halka açık yardım forumu yazılımındaki bir açığı, OpenAI'nin giriş sistemindeki bir zayıflıkla birleştirmek için Anthropic'in Claude Opus 5'ini kullandılar. Bu, OpenAI çalışanlarının ChatGPT ve Codex hesaplarına sızmalarına ve nihayetinde OpenAI'nin dahili kod deposuna yetkisiz erişim elde etmelerine olanak sağladı.
- Neden önemli
- Zincirleme kimlik doğrulama ve üçüncü taraf forum hataları, kurumsal SSO'yu ve dahili geliştirme kod depolarını tehlikeye atarak hassas fikri mülkiyeti ve çalışan hesaplarını açığa çıkarabilir.
Araştırmacılar, OpenAI Codex sanal ortamından çıkarak sunucuda komutlar çalıştırabiliyor.
Araştırmacılar, OpenAI'nin Codex sanal ortamından iki şekilde kurtuldular; bunlardan biri, geliştiricinin makinesinde en kısıtlı modda komutlar çalıştırmaktı.
- Neden önemli
- Verilen kaynak sayfasından herhangi bir teknik ayrıntı, tedarikçi etkisi veya belirli güvenlik açığı bağlamı elde edilemedi.
BragJack saldırıları, kötü amaçlı uzantılar aracılığıyla yapay zeka tarayıcı aracılarını ele geçiriyor.
Forever Security'den Gal Weizman'ın geliştirdiği bir prototip saldırı olan BragJack, kötü amaçlı bir uzantı kullanarak Chrome, Edge, Opera Neon, Perplexity Comet ve Chrome'daki Claude adlı yapay zeka asistanlarını ele geçiriyor.
- Neden önemli
- Verilen kaynak sayfasından herhangi bir teknik ayrıntı, tedarikçi etkisi veya belirli güvenlik açığı bağlamı elde edilemedi.
Kuzey Koreli WaterPlum hackerları dünya çapında 30.000 cihaza virüs bulaştırdı.
Ortak bir kolluk kuvvetleri bildirisinde, Kuzey Koreli hacker grubu WaterPlum'un Aralık 2025 ile Temmuz 2026 tarihleri arasında dünya genelinde en az 30.000 cihazı ele geçirdiği ve çalınan 10,7 milyon dolardan fazla kripto parayı Kuzey Kore'ye aktardığı uyarısında bulunuldu.
- Neden önemli
- Verilen kaynak sayfasından herhangi bir teknik ayrıntı, tedarikçi etkisi veya belirli güvenlik açığı bağlamı elde edilemedi.
ShinyHunters, Clop sızıntı sitesini hackledi ve fidye yazılımı çetesinden haraç almakla tehdit etti.
ShinyHunters adlı şantaj çetesi, Clop (diğer adıyla Cl0p) fidye yazılımı operasyonunun veri sızıntısı sitesine sızarak Tor sitesini tahrip etti ve iddiaya göre sunucu verilerini ve onion hizmetine ait özel anahtarları çaldı.
- Neden önemli
- Verilen kaynak sayfasından herhangi bir teknik ayrıntı, tedarikçi etkisi veya belirli güvenlik açığı bağlamı elde edilemedi.
Öne çıkanlar
- Hacktron, Claude Opus 5'i kullanarak Discourse forumundaki bir güvenlik açığını OpenAI giriş hatasıyla birleştirdi ve çalışanların ChatGPT ve Codex hesaplarını tehlikeye attı.
- Saldırı zinciri, ilk analizden sonraki 72 saat içinde OpenAI'nin dahili kod deposuna erişime olanak sağladı.
- OpenAI, güvenlik açığını ortaya çıkmasından 14 saat sonra düzeltti ve 6.500 dolarlık bir hata ödülü verdi.