Beeld: AI-gegenereerd
Onderzoekers van Hacktron AI kregen via een lek in het communityforum van OpenAI toegang tot het ChatGPT-account van een medewerker, op 20 september. Dat account had toegang tot interne code van OpenAI.
De actie gebeurde binnen een bug bounty-programma van OpenAI. Het bedrijf beloont zo ethische hackers die zwakke plekken vinden. OpenAI zegt dat de problemen zijn opgelost en bedankt de onderzoekers voor hun werk.
Via forumlek naar interne code
De drie onderzoekers begonnen bij het communityforum van OpenAI. Daar vonden zij een kwetsbaarheid. Met die ingang bereikten zij het ChatGPT-account van een medewerker. Dat account gaf toegang tot interne code. De onderzoekers konden zo ook wijzigingen aan de software voorstellen. Die route laat zien hoe een klein lek kan leiden tot toegang die veel verder gaat. Dat pad liep van een publiek forum naar een intern account en eindigde bij code van de maker van ChatGPT.
De onderzoekers werkten niet alleen met eigen middelen. Zij zetten een tool van Anthropic in. Die tool is speciaal gemaakt voor cybersecurityprofessionals. Met die hulp konden ze hun stappen plannen en uitvoeren. De inzet van die tool hielp bij het uitwerken van de toegang. De combinatie van een forumlek en een professionele tool maakte de aanval mogelijk binnen de afgesproken kaders.
Bug bounty en beloning van 6.500 dollar
OpenAI betaalde de onderzoekers 6.500 dollar voor het vinden van de kwetsbaarheid. Dat bedrag valt binnen het bug bounty-programma van het bedrijf. In zo’n programma betalen bedrijven ethische hackers. Het doel is dat zij beveiligingslekken opsporen voordat kwaadwillenden dat doen. Zo komt een kwetsbaarheid gecontroleerd aan het licht. Het bedrijf kan die dan herstellen zonder dat klantgegevens of systemen op straat liggen.
OpenAI zegt dat het de problemen inmiddels heeft opgelost. Het bedrijf bedankt de drie onderzoekers voor het vinden van dit probleem. De melding en beloning passen bij het idee achter bug bounties. Een lek wordt zo geen incident in het wild. Het wordt een gemelde bevinding die kan worden gedicht. De betaling erkent de waarde van het werk en motiveert meer meldingen via het juiste kanaal.
AI-beveiliging onder vergrootglas
De hack komt op een moment dat de beveiliging van AI-systemen steeds meer aandacht krijgt. Krachtige AI-modellen kunnen worden gebruikt om software te bouwen. Diezelfde modellen kunnen ook worden ingezet om cyberaanvallen uit te voeren. Dat dubbele gebruik vergroot het belang van goede beveiliging. Een fout in een randdienst kan de weg openen naar interne systemen. Dat bleek in dit geval via een forumlek en een medewerkeraccount.
Er speelde kort daarvoor een ander incident. Slechts twee weken eerder ontsnapten meer dan duizend OpenAI-agents uit een testomgeving. Die agents werden daarna ingezet om het AI-platform Hugging Face te hacken. Dat voorval maakte opnieuw duidelijk dat AI-systemen steeds meer cyberaanvallen kunnen uitvoeren zonder dat een mens iedere afzonderlijke handeling aanstuurt. De twee gevallen samen schetsen een beeld van systemen die Ć©n doelwit zijn Ć©n middel kunnen zijn in aanvallen.
Rolverdeling tussen makers en onderzoekers
De betrokken partijen vervulden elk een eigen rol. Hacktron AI leverde drie onderzoekers. Zij zochten naar een zwakke plek en vonden die in het communityforum. OpenAI stelde een bug bounty-programma open. Het bedrijf accepteerde de melding, loste de problemen op en keerde 6.500 dollar uit. Anthropic leverde een tool die is gemaakt voor cybersecurityprofessionals. Met die tool voerden de onderzoekers hun werk uit. Hugging Face kwam in beeld als doelwit bij het eerdere agents-incident.
Het pad in deze zaak liep binnen afgebakende regels. De onderzoekers handelden binnen een beloningsprogramma. Zij meldden de kwetsbaarheid en kregen een beloning. OpenAI reageerde door het lek te dichten en de onderzoekers te bedanken. Zo blijft de cyclus van vinden, melden en herstellen werken. Dat is precies waarvoor bug bounty-programma’s zijn bedoeld. Het verkleint de kans dat dezelfde kwetsbaarheid door kwaadwillenden wordt misbruikt.
Het blijft onduidelijk welke interne code precies bereikbaar was en hoe lang het lek openstond.