三个人 + Claude Opus 5，72 小时攻破 OpenAI：赏金 6500 美元
攻破 OpenAI 的不是另一家大厂的红队，是三个研究员加一个 AI——而那个 AI，是 OpenAI 头号对手家的。
三个关键信息
9 月 18 日多家媒体披露：初创公司 Hacktron AI 的安全研究员成功攻破 OpenAI 系统，全程用 Anthropic 的 Claude Opus 5 辅助，从发现漏洞到打通利用链不到 72 小时。 入口是 OpenAI 社区论坛（跑在 Discourse 上）用的图片处理库 libheif 的一个堆缓冲区溢出（CVSS 8.8）——一张损坏的图片文件，就能在论坛服务器上拿到远程代码执行。
提权路径更扎心：从论坛服务器打穿 OpenAI 的单点登录（SSO）认证缺陷，接管一名员工的 ChatGPT 和 Codex 账号；而该 Codex 账号连着 OpenAI 的 GitHub 组织，研究员由此摸进了内部 GitHub 环境。 作为概念验证，他们在 OpenAI 内部仓库里生成了一个无害的 pull request。
OpenAI 在 7 月 28 日就修补了相关漏洞，并通过 bug bounty 计划给 Hacktron AI 发了 6500 美元赏金。 这条链的真正价值不在赏金，而在它演示了一个趋势：AI agent 拿着宽泛的凭证访问权，正在把内部基础设施变成新的攻击面。
王斗视角
这条新闻的戏剧性藏在角色分配里：动手的 AI 是 Anthropic 家的 Claude，被打的是 OpenAI，等于对手递来的刀捅进了自家门。竞争归竞争，但当「攻破前沿实验室」这件事的标准配置变成「一个 AI 助手 + 72 小时」，安全这件事的成本结构就被改写了——以前堆红队、养内鬼、等运气，现在三个研究员点一份外卖的功夫就能把利用链跑通。
6500 美元这个数字最该被裱起来。它不是 OpenAI 小气，恰恰是 bug bounty 制度的诚实标价：在赏金表里，一条打穿 SSO、摸到内部 GitHub 的完整利用链，和发现一个 XSS 弹窗，走的可能是同一档预算。攻击者用 AI 把挖洞成本打到近乎为零，防守方的悬赏表还停在人力时代——这套定价体系，迟早要被自己的赏金单羞辱。
最该记住的一句话是：被攻破的从来不是模型，是模型周围的脚手架。libheif、Discourse、SSO、Codex 账号——OpenAI 最强的 AI 守不住最普通的一张论坛图片。AI 越自主，凭证越多，攻击面越大；这不是安全团队的 bug，是 agent 时代的设计原罪。