3000美元token，OpenAI被攻破了

3000美元token：一次针对OpenAI的AI辅助攻击复盘

3000美元的token，换来了全球最值钱的AI公司的一道口子。

安全研究团队Hacktron（团队成员实名信息见文末信源说明）公开了一次实战：他们利用OpenAI的SSO单点登录配置错误，配合其社区论坛所使用的Discourse软件中libheif软件包的堆缓冲区溢出漏洞，控制了多名OpenAI员工的ChatGPT账户，进而触达内部代码库和关联服务。整个过程中，辅助发现漏洞、实现远程代码执行的AI工具，是Anthropic的Claude——团队先使用较旧版本的Opus模型，后切换到新发布的版本。

事后，Hacktron向OpenAI和Discourse负责任地报告了漏洞，从OpenAI拿到6500美元赏金。AI辅助的漏洞发现与攻击全过程，token支出不到3000美元，AI智能体跑了数天，研究人员真正投入的人工时间只有几个小时。

🧩 攻击链复盘：真正的软肋从来不是模型

把攻击链摊开看，两个被利用的点都不“高科技”：

• SSO单点登录配置错误：典型的云时代配置类漏洞，不涉及任何0day，纯粹是“门没锁好”；
• Discourse论坛软件中libheif软件包的堆缓冲区溢出：一个来自第三方开源组件供应链的经典内存安全漏洞，出现在几乎所有科技公司都在用的社区论坛软件上。

注意这个结构：AI在整个链条里的角色，是把“发现配置错误”和“构造溢出利用”这两个原本需要大量人力的环节自动化了。而攻击面本身，是大公司安全体系里最古老的两类软肋——配置管理和第三方依赖。

传统渗透测试中，挖一个可利用的堆溢出、写出稳定的RCE利用链，往往是高级研究员数周的工作量。这次，AI智能体数天跑完，人只负责定方向和点确认。一个中等水平的安全研究员，配合最新一代模型，可以干出过去顶级研究员才能干出的活。

值得所有AI公司抄进风控教材的还有一个细节：辅助攻击用的是Anthropic的Claude，而不是OpenAI自家的GPT系列模型。同一个模型，白帽子用它审计自家系统，攻击者用它审计别人的系统，模型本身分不出区别。代码能力是模型商业价值的核心卖点，但代码能力的另一面，就是漏洞分析能力。

📉 一本成本账

6500美元只是OpenAI愿意为这次负责任披露付出的定价，不代表这类访问权在恶意市场上的估值——一旦“可访问OpenAI内部代码库的员工账户”流入恶意买家手里，价格逻辑就是另一个量级。这次因为走的是白帽路径，问题以6500美元收场；同样的成本结构，换一批人换一个动机，就是完全不同的故事。

🧭 三条具体启示

1. 供应链风险被AI放大。Discourse是大量互联网公司的标配组件，libheif是图像处理领域的通用开源库。一个组件的漏洞，经由AI辅助分析，可以在极短时间内被批量武器化，波及面远超单一目标。

2. 配置审计是最该先AI化的防守环节。攻击方已经用AI扫配置错误，防守方没有理由不把SSO、权限、密钥管理全部纳入AI驱动的持续审计。

3. 账户即边界。员工ChatGPT账户被控，直接导致内部代码库暴露——AI工具全面嵌入工作流之后，每一个SaaS账户都成了通往核心资产的桥，传统网络边界模型进一步失效。

🔭 结语

这次事件最值得记住的不是“OpenAI被黑了”这个标题，而是那三个数字：3000美元的token，数小时的人工，数天的机器时间。

漏洞一直都在——SSO配置错误、开源组件堆溢出，哪一个都不是新物种。变的是成本结构：过去需要顶级研究员数周打磨的活，现在一支小团队用竞争对手的模型几天跑完。当攻击成本进入千美元量级，安全就不再只是成本中心的技术问题。

矛便宜了，盾就得贵起来。这场再平衡，才刚刚开始。

信源与时间线说明（发布前须补齐核验）：

• 原始披露：Hacktron团队的完整技术报告（原文链接待补，含漏洞发现时间、报告提交时间、厂商修复确认时间）
• 漏洞编号：Discourse/libheif对应的CVE编号待核实（如libheif历史漏洞可参考CVE-2023-XXXXX系列，本次利用的具体编号以官方披露为准）；SSO配置错误属于配置问题，通常无CVE编号，以OpenAI赏金计划（Bugcrowd平台）的披露记录为准
• 赏金记录：OpenAI Bug Bounty在Bugcrowd上的公开赏金金额与评级
• 团队实名：Hacktron团队成员姓名及其公开主页/GitHub
• 模型版本：Claude具体版本号（Opus 4.8/5.5的准确命名以Anthropic官方发布为准）
• 删减说明：原稿中“据业内人士透露”“据多位接近安全圈的人士私下评价”等无信源的引述，以及赏金市场估值、安全预算迁移、AI红队赛道规模等行业推测，均已删除，避免不可核验信息。