Útok nestál na jedné chybě
Incident, který byl zveřejněn 18. září 2026, stojí na propojení dvou samostatných problémů. První se nacházel v knihovně libheif, která slouží ke zpracování obrázků ve formátech HEIC a HEIF. Druhý souvisel s přihlašováním přes jednotné přihlášení, známé jako SSO.
Výzkumníci nejprve využili chybu v obrazovém řetězci komunitního fóra OpenAI. Speciálně připravený obrázek mohl podle jejich popisu spustit vlastní kód na serveru. Získali tak kontrolu nad prostředím, které zpracovávalo nahrané soubory.
Samotný přístup k fóru by ale ještě neznamenal přístup k interním systémům OpenAI. Druhý krok umožnila nesprávná konfigurace služby „Sign in with OpenAI“. Ta podle Hacktronu dovolovala z napadeného serveru vydávat se za aktivní uživatele fóra a převzít jejich účty v ChatGPT a Codexu.
Protože účty mohly být propojené s dalšími službami, například s GitHubem nebo Slackem, mohl být teoretický dosah širší. Výzkumníci však uvádějí, že své testování po ověření dopadu zastavili.
Claude zvládl to, co jeho předchůdce nedokončil
Na případu je pozoruhodná role AI. Tým nejprve použil Claude Opus 4.8. Model dokázal připravit funkční část exploitu, ovšem pouze v prostředí, kde byla vypnutá ochrana ASLR. Ta ztěžuje zneužití chyb v paměti tím, že mění umístění důležitých částí programu.
Po vydání modelu Claude Opus 5 dne 24. července 2026 se podle výzkumníků situace změnila. Nový model vytvořil během tří hodin funkční exploit pro lokální počítač Mac a následně ho pomohl upravit pro prostředí serveru s jinou architekturou a nastavením paměti.
Výzkumníci potom model spustili v autonomní smyčce proti vlastní testovací instanci. Protože Claude odmítal vytvářet exploity proti reálným systémům, popsali cíl jako úlohu podobnou bezpečnostnímu benchmarku. Přibližně o čtyři hodiny později agent podle jejich zprávy získal kontrolu nad testovacím serverem.
Teprve poté tým použil připravený postup proti systému OpenAI. Přístup k účtu zaměstnance ověřil vytvořením neškodného pull requestu v interním monorepozitáři. Nešlo tedy o zveřejnění zdrojového kódu ani o krádež zákaznických dat, ale o důkaz, že řetězec zranitelností skutečně funguje.
Podrobnosti zveřejnili Harsh Jaiswal, Mohan Pedhapati a Rahul Maini v článku Hacking OpenAI. Původní souvislosti popsal také technologický web The Decoder.
OpenAI opravila problém během 14 hodin
Hacktron uvádí, že OpenAI chybu po nahlášení potvrdila a opravu nasadila přibližně za 14 hodin. Zasažené relace byly revokovány a přístupová cesta uzavřena. Společnost následně v rámci svého bug bounty programu vyplatila výzkumníkům odměnu 6 500 dolarů.
Důležitý je také rozdíl mezi dvěma částmi incidentu. Odměna se podle upřesnění OpenAI vztahovala na problém na straně její přihlašovací infrastruktury, nikoli na samotné testování serveru komunitního fóra. Provozovatel platformy Discourse reagoval samostatně a připravil opravu i dodatečné sandboxování zpracování obrázků.
Pro běžného uživatele OpenAI z toho neplyne, že by měl měnit každé heslo nebo přestat používat ChatGPT. Významnější je, že jediná přihlašovací služba může spojovat několik různých prostředí. Pokud se naruší méně chráněná služba, může se problém přenést i na účty a nástroje, které samy žádnou chybu neměly.
Problém se netýká pouze OpenAI
Výzkumníci označili širší průzkum názvem HEIF Heist. Zaměřili se na to, jak často se knihovna libheif objevuje v běžných aplikacích a službách, které přijímají obrázky od uživatelů. Vedle OpenAI prověřovali také prostředí spojená se Slackem, Metou nebo GitHub Enterprise.
Podle Hacktronu trval celý projekt dva měsíce, pracovali na něm tři lidé a náklady na AI nepřesáhly 3 000 dolarů. Přizpůsobení postupu pro další cíl obvykle zabralo jeden až dva dny. Výzkumníci zároveň zdůrazňují, že nešlo o zcela samostatné útočení bez lidí. Zkušení odborníci stále vybírali cíle, připravovali prostředí a kontrolovali výsledky modelu.
Právě v tom spočívá podstatný dopad. AI nemusí sama objevit zcela novou zranitelnost, aby změnila bezpečnostní situaci. Stačí, když pomůže rychleji převést známou chybu na funkční postup pro konkrétní server. Dříve k tomu byla potřeba vzácná kombinace zkušeností, času a znalosti cílového prostředí. Nyní může část této práce převzít model.
Co si z případu mohou odnést firmy v Česku
Nejpraktičtější poučení se týká firem, které přijímají obrázky od uživatelů nebo provozují vlastní instance webových platforem. Formáty HEIC a HEIF jsou běžné hlavně u fotografií z novějších telefonů, takže jejich zpracování může být součástí redakčního systému, zákaznického portálu nebo interní aplikace.
Pokud firma používá vlastní Discourse, měla by podle Hacktronu aktualizovat instalaci a přebudovat příslušný obraz kontejneru. Pouhé kliknutí na aktualizaci ve webovém rozhraní nemusí v některých nasazeních vyměnit zranitelnou systémovou knihovnu. Zároveň dává smysl oddělit převod obrázků od hlavní aplikace a omezit oprávnění procesu, který soubory zpracovává.
Stejně důležitá je kontrola jednotného přihlášení. SSO zjednodušuje práci zaměstnancům, ale současně vytváří silnou vazbu mezi službami. Firma by proto měla vědět, které aplikace používají stejné identity, jak rychle dokáže zneplatnit relace a zda lze přístup k citlivým systémům chránit dalším ověřením.
Claude v češtině a dostupnost pro český trh
Popisovaný případ se týká bezpečnostního výzkumu s modelem Claude, nikoli běžné funkce určené českým uživatelům. Ze zveřejněných materiálů nelze spolehlivě určit konkrétní spotřebitelskou cenu Claude Opus 5 ani potvrdit, v jakém rozsahu byl tento model dostupný v České republice nebo Evropské unii.
Samotný incident také není benchmarkem, který by dokazoval celkovou převahu Claude nad ostatními modely. Výzkumníci uvádějí, že na jednom souvisejícím úkolu pozorovali zlepšení oproti modelu GPT-5.6 Sol, ale nejde o nezávislý standardizovaný test. Výsledek je proto nejlepší chápat jako konkrétní pozorování v jednom bezpečnostním scénáři.
Pro uživatele AI je přesto důležitý. Ukazuje, že schopnější modely mohou pomoci nejen při psaní textů, programování nebo analýze dokumentů, ale také při hledání cest přes složitě propojené systémy. Odpovědnost proto neleží pouze na samotném modelu. Stejně důležitá je správná konfigurace serverů, aktualizace závislostí a omezení toho, co může přihlášený účet nebo automatizovaný agent provést.
FAQ
Dostali se výzkumníci ke zdrojovým kódům OpenAI?
Podle zveřejněného popisu zdrojové kódy ani klientská data nestáhli. Přístup prokázali vytvořením jednoho neškodného pull requestu v interním repozitáři a další testování zastavili.
Musí běžný uživatel ChatGPT po tomto incidentu něco měnit?
Zveřejněné informace samy o sobě nevyžadují změnu hesla u všech uživatelů. Firmy a správci vlastních systémů by ale měli zkontrolovat připojené služby, aktivní relace a nastavení jednotného přihlášení.
Proč jsou nebezpečné právě obrázky HEIC a HEIF?
Stejně jako jiné složité formáty procházejí při nahrání specializovanými knihovnami. Pokud knihovna obsahuje chybu a server zpracuje útočníkem připravený soubor, může vzniknout cesta ke spuštění nežádoucího kódu.
