Tre forskare tog sig in i OpenAI på 72 timmar – med rivalens verktyg som enda vapen
Tre forskare bröt sig in hos OpenAI på 72 timmar – med en konkurrents AI.
Tre killar med prenumerationer – och tillgång till OpenAI:s hemligheter
Det räckte med tre personer, ett par AI-prenumerationer och 72 timmar. Det är den anmärkningsvärda berättelsen bakom säkerhetsföretaget Hacktrons så kallade HEIF Heist-projekt, som rapporterats av bland annat The Verge och Wall Street Journal.
Teamet identifierade en sårbarhet i Discourse – forumplattformen som OpenAI använder för sin interna gemenskap. Felet låg i hur systemet hanterade bildformatet HEIF: uppladdningar skickades vidare till bildbehandlingsverktyget ImageMagick, som i sin tur nådde biblioteket libheif – där en oupptäckt säkerhetsbrist gömde sig. Felet hade visserligen åtgärdats av sin upphovsman ett år tidigare, men aldrig klassificerats som ett säkerhetsproblem, och hade därför aldrig tilldelats något identifieringsnummer eller genomgått sedvanlig säkerhetsuppdatering, enligt SecurityWeek.
Med hjälp av Anthropics modeller Claude Opus 4.8 och Opus 5 – direkta konkurrenter till OpenAI:s egna produkter – byggde teamet en fungerande angreppsmetod som möjliggjorde fjärrkörning av kod. Väl inne i forumsystemet öppnades nästa sårbarhet: inloggningstokens som genererades för forumet hade alltför vida behörigheter och gav full tillgång till användarnas ChatGPT- och Codex-konton. Forskarna övertog en anställds konto – kopplat till GitHub, Slack, Outlook och Google Drive – och skickade en sammanslagningsförfrågan till OpenAI:s interna kodbas som bevis.
– Vi är bara tre killar med prenumerationer på Claude och Codex, sa Mohan Pedhapati, teknikchef på Hacktron AI, till Wall Street Journal. Belöningen uppgick till 6 500 dollar. Sårbarheterna är sedan dess åtgärdade.
Ironin är svår att missa: Claude Opus 5 lanserades på kvällen den 24 juli, och redan klockan tio nästa morgon hade det använts för att penetrera rivalens system.
Mer än ett forum-fel – ett systemfel
Det vore frestande att avfärda detta som en isolerad teknisk miss. Men händelsen pekar på något strukturellt: den snabba spridningen av kraftfulla AI-verktyg förändrar vem som kan göra vad, och hur snabbt. Som Computer Sweden påpekar är den mänskliga faktorn ofta den svagaste länken – men nu har den mänskliga faktorn fått en AI-driven kraftförstärkare i händerna.
Samtidigt pågår en parallell debatt som är ännu mer laddad. MIT Technology Review rapporterar att ledande röster inom branschen – däribland Anthropics Dario Amodei och OpenAI:s Sam Altman – höjt varningsflagg för AI:s potential att underlätta framtagningen av biologiska vapen. Redan 2022 visade forskning att ett AI-system, ursprungligen byggt för läkemedelsutveckling, på under sex timmar genererade 40 000 molekyler med potential att användas som kemiska stridsmedel.
Men bilden är inte entydig. Wired citerar forskare som menar att informationsinhämtning sällan är den verkliga flaskhalsen för att tillverka biologiska vapen – det praktiska laboratoriearbetet är fortfarande det avgörande hindret. Överdrivna katastrofvarningar riskerar att skymma de problem som faktiskt är pågående redan i dag.
Och de problemen är reella nog. Ars Technica rapporterar om hur det amerikanska försvaret höll på att genomföra ett militärt ingripande mot ett kinesiskt fartyg – baserat på ett underrättelseunderlag som en AI-chatbot hade fabricerat från grunden. Verktyget hade sammanfogat öppen information med hemligstämplad signalspaning och producerat ett helt felaktigt slutsatsdokument. Ingripandet stoppades i sista stund.
Genuint ansvar eller strategisk kalkyl?
Den kritiska frågan som Computer Sweden och Wired båda ställer är om branschens egna varningsrop är äkta. När en Anthropic-ingenjör offentligt lämnade sin tjänst och anklagade företaget för att "spela hasard med våra liv", och företagets säkerhetschef höll med om att risken för existentiella konsekvenser kan vara över tio procent – är det en genuin bedömning eller strategisk positionering inför regleringar och börsnoteringar?
Wired lyfter fram att Anthropics egna modell Claude nu svarar för 26 procent av all intern AI-forskning – jämfört med noll procent i början av 2026 – medan bara 6 procent av beräkningsresurserna läggs på säkerhetsarbete. Det är en siffra som talar för sig självt.
Häri ligger den verkliga lärdomen från HEIF Heist: inte att Discourse hade ett bildbiblioteksfel, utan att hela branschen fortfarande springer snabbare än den tänker.
Vår analys
Det som gör HEIF Heist-incidenten så tankeväckande är inte det tekniska genomförandet – det är vad den symboliserar. AI-verktyg är inte längre enbart produkter som företag säljer till konsumenter. De är hävstänger som förändrar vad enskilda aktörer kan åstadkomma, i vilken hastighet och med vilka resurser.
Jag ser detta som ett tydligt tecken på att branschen befinner sig i ett mognadsbrott. De tidiga åren av AI-eufori har gett plats åt en mer komplex verklighet: samma teknologi som driver produktivitetsgenombrott är också ett verktyg som kräver helt nya säkerhetsparadigm.
Den goda nyheten är att etiska hackare och ansvarsfullt utlämnande av säkerhetsbrister faktiskt fungerar – OpenAI fick veta om problemet, åtgärdade det och betalade ut belöning. Det är systemet som ska fungera. Utmaningen är att se till att det goda hinner ikapp det potentiellt skadliga – och att säkerhetsarbete inte fortsätter att vara underfinansierat i förhållande till kapplöpningen om nästa modellgeneration.