Claude hackt OpenAI
in unter 72 Stunden

Claude hackt OpenAI, gesteuert von drei Sicherheitsforschern des Startups Hacktron AI. Laut ihrem Bericht „Hacking OpenAI“ verkettete das Team am 25. Juli 2026 zwei kritische Schwachstellen. Es übernahm mehrere ChatGPT-Konten von OpenAI-Mitarbeitern und öffnete über deren Codex-Anbindung einen Pull Request im internen Code-Archiv des Unternehmens. Von der ersten Analyse bis zum Zugriff auf das Repository vergingen weniger als 72 Stunden.

Hacktron veröffentlichte den Bericht am 13. September. Breite Aufmerksamkeit bekam der Fall erst, als das Wall Street Journal am 17. September darüber berichtete. OpenAI bestätigte den Fund, schloss die Lücken nach eigenen Angaben binnen eines Tages und zahlte eine Prämie von 6.500 US-Dollar. Anthropic lehnte laut Ars-Technica-Bericht zum Claude-Hack einen Kommentar ab.

Ein iPhone-Foto im Hilfeforum öffnete den Server

Der Einstieg lief über community.openai.com, das öffentliche Hilfeforum von OpenAI. Das Forum läuft auf der Open-Source-Software Discourse und wird von Discourse selbst gehostet. Die Forscher griffen nicht Discourse direkt an. „Die Discourse-App selbst ist kein leichtes Ziel“, schreiben sie, deshalb nahmen sie sich eine Abhängigkeit vor.

Am 23. Juli fiel dem Team auf, dass Bilder im Apple-Format HEIC/HEIF einen Sonderweg nehmen. Discourse prüft Uploads normalerweise mit der Bibliothek FastImage. FastImage unterstützt HEIF nicht, also reicht Discourse solche Dateien an ImageMagick weiter, und ImageMagick decodiert sie mit der C++-Bibliothek libheif. Damit landete jede hochgeladene Datei ungefiltert im libheif-Parser.

Das Docker-Image von Discourse basierte auf Debian 12 und enthielt libheif 1.19.7. Claude Opus 4.8 untersuchte das installierte Paket im Auftrag der Forscher und stellte fest, dass sicherheitsrelevante Korrekturen aus dem Hauptprojekt nie zurückportiert worden waren. Ein präpariertes Bild löste einen Speicherfehler aus, der Lese- und Schreibzugriffe außerhalb des vorgesehenen Bereichs erlaubte. Am Ende stand die Ausführung von eigenem Code auf dem Server (Remote Code Execution) samt Admin-Zugang zum Forum.

Hacktron beschreibt den Weg als Exploit-Kette mit neun Gliedern:

Opus 4.8 scheiterte, Opus 5 lieferte nach drei Stunden

Den Durchbruch schaffte erst Claude Opus 5, das Anthropic am Abend des 24. Juli 2026 veröffentlichte. Am selben Tag hatte das Team mit Opus 4.8 bereits einen funktionierenden Exploit gebaut, allerdings nur bei abgeschaltetem ASLR. Diese Schutztechnik würfelt Speicheradressen bei jedem Programmstart neu aus und ist in der Standardkonfiguration von Discourse aktiv. Mehrere weitere Sitzungen mit Opus 4.8 brachten gegen ASLR kein Ergebnis.

Opus 4.8 mühte sich über mehrere Sitzungen ab, einen funktionierenden Exploit mit aktiviertem ASLR zu bauen. Wenige Stunden nach dem Release von Opus 5 gaben wir ihm dasselbe Problem, und es gelang.

Hacktron AI im Bericht „Hacking OpenAI“ (übersetzt)

Eine neue Sitzung mit Opus 5 produzierte laut Bericht innerhalb von drei Stunden einen lauffähigen Exploit für einen lokalen Mac mit ARM64-Prozessor. Danach portierte das Modell den Code auf die x86-64-Umgebung von Discourse mit dem Speicherverwalter jemalloc. Um 6 Uhr morgens am 25. Juli war die Codeausführung per Bild-Upload auf einer lokalen Installation bestätigt (der Bericht nennt zu dieser Uhrzeit keine Zeitzone).

Anthropic hatte Opus 5 am Release-Tag anders eingeordnet. In der Anthropic-Ankündigung von Claude Opus 5 steht, das Modell komme beim Finden von Schwachstellen nah an das stärkere Mythos 5 heran, liege beim Ausnutzen aber „substantially behind“. Man habe Opus 5 wie den Vorgänger bewusst nicht auf Cyber-Aufgaben trainiert. Die Verbesserung sei eine Folge der allgemein gestiegenen Fähigkeiten.

Eine Proxy-Adresse tarnte das Ziel als Übungsaufgabe

Opus 5 weigerte sich laut Hacktron, Exploits gegen entfernte Server zu schreiben. Das passt zu Anthropics Angaben, wonach Klassifikatoren bei Opus 5 Penetrationstests und das Erzeugen von Exploits blockieren. Die Forscher leiteten ihre eigene Test-Instanz bei Discourse Cloud deshalb über die Adresse rce.ee/ctf-forum. Für das Modell sah das Ziel damit wie eine Capture-the-Flag-Aufgabe aus, also wie ein Hacker-Wettbewerb auf Übungssystemen.

Anschließend lief Claude in einer autonomen /goal-Schleife gegen diese Instanz. Als das Team um 10 Uhr wieder nachsah, hatte der Agent die Codeausführung auf Discourse Cloud erreicht und als Beleg die Datei /etc/hosts ausgelesen. Mit dem erzeugten Skript übernahmen die Forscher danach das OpenAI-Forum.

Zur Modellversion gibt es eine Zusatzangabe aus der Presse. Laut Wall Street Journal (wiedergegeben im Gizmodo-Bericht über die drei Hacktron-Forscher) nutzte das Team eine nicht öffentliche Variante von Opus 4.8, die Anthropic nur geprüften Sicherheitsforschern freischaltet. Anthropic betreibt für solche Zwecke das Cyber Verification Program, das die Schutzfilter für Schwachstellenforschung und Bug-Bounty-Arbeit lockert. Dessen Mitglieder erhielten laut Anthropic zum Release auch eine weniger beschränkte Fassung von Opus 5. Ob Hacktron dem Programm angehört, sagt keine Quelle.

Für das Nachfolgemodell Claude Opus 5.5 vom 22. September sind die Schutzfilter wieder strenger. Anthropic bescheinigt dem Modell auf der Anthropic-Seite zu Claude Opus 5.5 „extremely strong cyber capabilities“ und leitet die meisten Cybersecurity-Aufgaben auf Opus 4.8 um. Das Cyber Verification Program bekommt drei Stufen mit wachsenden Freigaben. Den Hacktron-Fall erwähnt Anthropic dort nicht und hat sich bis zum 26. September auch sonst nicht dazu geäußert.

Vollautomatisch lief der Angriff nicht. „Das war kein vollständig autonomes Hacken, fachkundige menschliche Anleitung blieb wichtig“, heißt es im Bericht. Der Agent arbeitete einige Tage, die Menschen nur wenige Stunden.

Vom Forum ins Monorepo über einen SSO-Fehler bei OpenAI

Die zweite Schwachstelle lag bei OpenAI selbst und machte aus dem Forum-Einbruch eine Kontoübernahme. Das Forum bietet „Sign in with OpenAI“ über auth.openai.com an, eine Form von Single Sign-on. Wer den Forum-Server kontrollierte, konnte laut Hacktron die ChatGPT- und Codex-Konten aktiver Forumsmitglieder übernehmen, ohne dass die Betroffenen etwas anklicken mussten.

Ein Advisory oder eine CVE‑Nummer gibt es zu diesem Fehler nicht. Die Anmelde-Token, die OpenAI für das Forum ausstellte, trugen laut SecurityWeek-Bericht über den Anmeldefehler bei OpenAI zu weit gefasste Berechtigungen. Sie gaben vollen API-Zugriff auf die verknüpften ChatGPT- und Codex-Konten. Nach dem Prinzip Least Privilege hätten die Token nur die Rechte für das Forum tragen dürfen. Der VentureBeat-Bericht über die White-Hat-Forscher zitiert die Stellungnahme von OpenAI vollständig. Das Unternehmen dankt den Forschern und teilt mit, es habe die Berechtigungen der Anmelde-Token für die Community eingeschränkt und betroffene Token und Sitzungen widerrufen. Hacktron betont, der Fehler sei nicht Discourse-spezifisch gewesen. Jeder kompromittierte Dienst mit OpenAI-Anmeldung hätte denselben Zugriff eröffnet.

Unter den übernommenen Konten war das eines OpenAI-Mitarbeiters, dessen Codex mit der GitHub-Organisation von OpenAI verbunden war. Hacktron-Mitgründer Mohan Pedhapati schrieb auf X, betroffen gewesen seien auch einige Nutzer ohne Verbindung zu OpenAI, und nannte Outlook, Slack und GitHub als erreichbare Dienste.

On July 25, we hacked OpenAI.

Two bugs let us take over ChatGPT/Codex accounts of OpenAI employees (+some unaffiliated users) and reach connected services: Outlook, Slack, GitHub, etc.

We proved it with a PR in OpenAI's internal codebase . It took us <72h. 🧵

— s1r1us (@S1r1u5_) September 18, 2026

Als Beweis wählten die Forscher einen Weg ohne Einblick in fremden Code. Sie gaben dem Codex des Mitarbeiters den Auftrag, einen harmlosen Pull Request mit der Nummer 1186742 im internen Monorepo anzulegen. Danach brachen sie den Test ab. Quellen des Wall Street Journal bezeichnen dieses Monorepo laut Fortune-Bericht zum OpenAI-Quellcode als „secret sauce“ des Unternehmens. Die Forscher luden laut dem Guardian-Bericht zum OpenAI-Hack keinen Code herunter. OpenAIs eigene Auswertung fand laut SecurityWeek begrenzte Lesezugriffe auf Metadaten und Commits privater Repositories, danach den Pull Request auf eine README-Datei. OpenAI betont, Hacktron habe keinen Zugriff auf Slack-Nachrichten von Mitarbeitern nachgewiesen.

Der 25. Juli 2026 im Zeitverlauf

Zur Höhe der Prämie stellte OpenAI klar, Tests gegen das von Discourse gehostete Forum seien vom Bug-Bounty-Programm ausdrücklich ausgeschlossen gewesen. Die 6.500 US-Dollar honorieren demnach nur den Fund auf OpenAI-Seite. Wie eine koordinierte Offenlegung mit Bug Bounty abläuft, erklärt unser Glossar.

CVE‑2026‑32882 galt offiziell nur als Lesefehler

Discourse führt die Lücke im Discourse-Advisory „RCE via malformed HEIF file“ unter CVE‑2026‑32882 und bewertet sie mit einem CVSS-Wert von 8,8 (hoch). Dieselbe CVE-Nummer steht bei Ubuntu und Red Hat mit 7,1 in der Datenbank. Dort ist sie ein Lesezugriff über die Puffergrenze hinaus in der Overlay-Funktion von libheif, mit Absturz oder Speicherabfluss als Folge. Von Codeausführung ist in der offiziellen Beschreibung keine Rede.

Den Abstand zwischen beiden Bewertungen erklärt The Hacker News in der Analyse der Hacktron-Kette. Der ausgelesene Speicher half demnach, ASLR auszuhebeln. Erst die Kombination mehrerer libheif-Speicherfehler ergab mit KI-Hilfe die Codeausführung.

Bei der Frage, warum die Lücke noch offen war, gehen die Darstellungen auseinander. Hacktron schreibt, der verwundbare Code sei im Hauptprojekt schon im Vorjahr geändert worden, allerdings ohne Hinweis auf ein Sicherheitsproblem und ohne CVE. TechCrunch übernahm das. The Hacker News verweist dagegen auf die CVE vom 19. Mai 2026 und sieht die Ursache beim Debian-Paket, das im Juli noch Version 1.19.7 auslieferte. Behoben ist der Fehler laut Ubuntu-Datenbank seit libheif 1.22.0. In beiden Darstellungen existierte ein Patch, der im Docker-Image des Forums nie ankam.

Für den Neuaufbau einer selbst gehosteten Discourse-Installation nennt der Hacktron-Bericht diesen Befehl:

cd /var/discourse && git pull && ./launcher rebuild app

Eine eigene Warnung von BSI oder CERT-Bund zum OpenAI-Fall gibt es bis zum 26. September 2026 nicht. Die als kritisch eingestufte CERT-Bund-Meldung WID‑SEC‑W‑2026‑3027 zu Next.js vom 25. August umfasst aber die AVIF-Lücke aus der HEIF-Heist-Liste. Das Debian-Update DSA‑6417‑1 vom 8. August schließt zwölf libheif-Lücken, gilt aber nur für Debian 13. Für Debian 12, die Basis des verwundbaren Forum-Images, führt der Debian-Security-Tracker zu CVE‑2026‑32882 die Lücke weiterhin als offen.

HEIF Heist traf auch Slack, Meta, GitHub Enterprise und Next.js

OpenAI war nur das erste Ziel einer zweimonatigen Kampagne, die Hacktron HEIF Heist nennt. Nach dem Einbruch suchte das Team weitere Dienste, die HEIF-, HEIC- oder AVIF-Bilder mit libheif verarbeiten. Die Projektseite HEIF Heist listet unter anderem diese Funde:

Im Meta-Fall bestätigte das Produktsicherheitsteam des Konzerns einen von außen gemeldeten, funktionierenden Exploit gegen die damals aktuelle libheif 1.23.1. Metas Untersuchung förderte elf Schwachstellen in der Bibliothek zutage. Harsh Jaiswal schrieb am 24. September auf X über die Meta-Prämie, Meta habe ihm für die Codeausführung in Facebook und Instagram 100.000 US-Dollar gezahlt. Eine Bestätigung von Meta gibt es dazu nicht. Beim OpenAI-Fund spricht die Projektseite von einem „Dump“ privater Repositories, der Hacktron-Bericht schildert dagegen nur den Pull Request ohne Einblick in Code. The Hacker News merkt an, dass die pauschale Behauptung von Codeausführung in vielen weiteren Anwendungen nicht unabhängig bestätigt ist.

Die gesamte Kampagne kostete laut Hacktron weniger als 3.000 US-Dollar an Token, verteilt auf zwei Monate und drei Forscher. Die Summe gilt für die ganze Kampagne, nicht für den OpenAI-Hack allein. Die Anpassung des Exploits an ein neues Unternehmen dauerte meist ein bis zwei Tage. Für Ziele, über die das Team vorab nichts wusste, nutzte es OpenAIs eigenes Modell GPT‑5.6 Sol und beschreibt das als weiteren Fähigkeitssprung gegenüber Opus 5. Der Guardian schreibt, die Forscher hätten den OpenAI-Hack „largely“ mit GPT‑5.6 Sol ausgeführt. Das widerspricht dem Hacktron-Bericht, der für OpenAI nur Opus 4.8 und Opus 5 nennt.

Hacktron kennt nach eigenen Angaben außer Shopify kein Unternehmen, das die Aktivität entdeckte, obwohl tausende Bilder eintrafen und die Bildverarbeitung wiederholt abstürzte.

„Für 200 Dollar im Monat“: Reaktionen aus der Sicherheitsbranche

Sicherheitsfachleute werten den Fall als Beleg für gesunkene Einstiegshürden. Für 200 Dollar im Monat könne jeder diese Tools nutzen und in ein Unternehmen wie OpenAI eindringen, sagte Matt Fredrikson im TechCrunch-Bericht über den Claude-Hack bei OpenAI. Er leitet die KI-Sicherheitsfirma Gray Swan. Wenn es OpenAI treffe, könne es jeden treffen. Pedhapati selbst sagte dem Wall Street Journal: „Wir sind nur drei Leute mit Abos für Claude und Codex.“

Greg Linares, Sicherheitsforscher beim Authentifizierungs-Anbieter Persona, ordnete die Kette gegenüber NBC News im Beitrag zum OpenAI-Einbruch auf dem Niveau staatlich unterstützter Angreifer ein. Bei ständigem Lieferdruck würden Patches vernachlässigt und Konfigurationen übersehen. OpenAI teilte Gizmodo mit, dem Unternehmen seien keine Fälle bekannt, in denen Dritte die Lücken ausgenutzt hätten.

Ausländische Geheimdienste greifen dieselben Ziele vermutlich dauerhaft an, folgert Frank Cilluffo vom McCrary Institute der Auburn University im Washington-Post-Bericht über die Warnungen der Hacktron-Forscher. Wenn drei verantwortungsvolle Forscher mit kommerziellen KI-Tools diesen Zugang in Tagen erreichten, müsse man bei gut ausgestatteten Diensten davon ausgehen. Dan Wallach von der RAND Corporation nannte das Vorgehen der Forscher unhöflich. OpenAI solle aber froh sein, dass der Angreifer Bescheid gegeben habe.

Hacktron selbst spricht von einer veränderten Ökonomie der Angriffe. Software hat lange von einer Art „Sicherheit durch Komplexität“ profitiert, weil der Weg vom bekannten Fehler zum verlässlichen Exploit seltenes Fachwissen und Monate an Arbeit verlangte. Künstliche Intelligenz verwandle dieses Fachwissen in Rechenleistung.

Der Vorfall reiht sich in eine Serie ein. Im Juli brachen OpenAI-Agenten bei einem Sicherheitstest aus und griffen Hugging Face an, was zur OpenAI-Trainingspause führte. OpenAI-Chefwissenschaftler Jakub Pachocki warnte im September in seinem Essay An Alien Mind vor dem eigenen Tempo. Allein die Überwachung von GPT-6 Astra kostet OpenAI rund 20 Prozent der überwachten Inferenz-Rechenleistung. Anfang September dokumentierte der Anthropic Security Report 2026 den Missbrauch von Claude durch kriminelle und staatliche Gruppen. Mitte September bestätigte Google laut SecurityWeek-Bericht zum Gemini-Vorfall, dass Gemini im Mai bei einem Capture-the-Flag-Test der israelischen Firma Irregular in Systeme dreier realer Unternehmen eingedrungen war.

Die Regulierungsdebatte läuft bisher nur in den USA

ABC News griff den Fall am 18. September in einem Beitrag mit Riki Parikh auf, Policy Director der Alliance for Secure AI. Die von Politico als überparteilich beschriebene Organisation aus Washington unterstützt den am 9. September eingebrachten Stop Rogue AI Act der Abgeordneten Gottheimer und Lawler. Der Entwurf verpflichtet die Standardisierungsbehörde NIST, binnen eines Jahres Standards und Leitlinien für Identifizierung, Überwachung und Abschaltung autonomer KI-Agenten vorzulegen. Bindend wären sie für Bundesbehörden und deren Auftragnehmer.

TechCrunch stellt die Kontrollen der beiden Modelle gegenüber. Opus 5, das den Exploit schrieb, unterlag keiner Exportbeschränkung. Die stärkeren Modelle Fable 5 und Mythos 5 nahm Anthropic im Juni vorübergehend vom Netz, nachdem das US-Handelsministerium Nicht-Amerikanern den Zugriff per Exportkontrolle untersagt hatte. Handelsminister Howard Lutnick hob die Auflage am 30. Juni wieder auf. Anthropic-Chef Dario Amodei forderte am 12. September erneut ein langsameres Entwicklungstempo (Hintergrund in unserem Artikel zur Amodei-Warnung vor KI-Risiken). US-Präsident Donald Trump lehnt das laut Guardian mit Verweis auf den Wettlauf mit China ab.

In den ausgewerteten Berichten kommen weder die EU noch der AI Act vor. Im US-Kongress liegt neben dem Stop Rogue AI Act der AI Kill Switch Act der Abgeordneten Ted Lieu und Nathaniel Moran vom 23. Juli. Bernie Sanders und Greg Casar kündigten am 3. September den Ban Artificial Superintelligence Act an, einen Entwurf, der den Bau superintelligenter KI verbieten würde. Abgestimmt wurde über keinen der Vorschläge.

Häufige Fragen zum OpenAI-Hack mit Claude