Il 23 luglio 2026 Hacktron AI ha ottenuto accesso a un account ChatGPT aziendale e a repository GitHub privati di OpenAI durante un test autorizzato. L’operazione rientrava nel programma di bug bounty della società: i ricercatori hanno segnalato la catena di vulnerabilità e ricevuto una ricompensa di 6.500 dollari.
In breve
- Hacktron AI ha usato Claude di Anthropic in un’attività di sicurezza autorizzata.
- L’ingresso è passato da Discourse, forum esterno della community OpenAI.
- I token sottratti hanno aperto la strada a un account ChatGPT di un dipendente.
- Una pull request di prova non è stata accettata.
- I pesi dei modelli non risultano raggiunti.
Sommario
Il test di Hacktron AI e l’accesso ai repository
Il test ha mostrato che una catena di difetti può collegare un servizio della community ai sistemi di sviluppo interni. Hacktron AI ha svolto attività di penetration testing nel perimetro del programma di divulgazione delle vulnerabilità di OpenAI, fermandosi dopo avere verificato il livello di autorizzazione ottenuto.
Secondo 01net e incrypted, Claude è stato impiegato per analizzare l’infrastruttura e concatenare i punti deboli individuati. Il percorso ha portato prima a un account ChatGPT appartenente a un dipendente, poi ai repository privati ospitati su GitHub. Non si è trattato di un accesso non autorizzato condotto per sottrarre dati o alterare sistemi: il gruppo ha comunicato il problema all’azienda.
Per provare i permessi disponibili, i ricercatori hanno creato una pull request su un file di documentazione. La proposta non è stata approvata. Quel test ha però dimostrato la possibilità di interagire con risorse interne senza intervenire sul software distribuito.
Dalla vulnerabilità di Discourse ai token di autenticazione
Il punto d’ingresso era Discourse, piattaforma di terze parti usata dalla community OpenAI. La vulnerabilità riguardava la gestione di file immagine e ha consentito di arrivare ai token di autenticazione presenti sul server del forum.
Quei token erano collegati ad account con privilegi più ampi del previsto. La sequenza ha reso possibile l’accesso a ChatGPT e, attraverso le integrazioni di identità, ai repository GitHub privati. Il caso mette al centro la gestione delle identità: un token valido può collegare servizi diversi anche quando ogni singola piattaforma applica controlli separati.
Secondo la ricostruzione di incrypted, il primo tentativo di sfruttamento non era riuscito con Claude Opus 4.8. Il difetto sarebbe stato individuato il giorno seguente con Claude Opus 5, usato per generare un approccio efficace. Questo dettaglio resta legato a una sola ricostruzione, mentre il ruolo di Discourse e dei token emerge da più resoconti.
Quali dati sono stati raggiunti e quali no
L’accesso ha coinvolto codice e metadati dei repository interni, incluso il Monorepo di OpenAI. I pesi dei modelli, cioè i parametri utilizzati per il loro funzionamento, non risultano compromessi.
OpenAI ha rilevato letture limitate dei metadati dei repository privati e modifiche al codice. La pull request non accettata rientra nella verifica eseguita dal team di Hacktron AI, che ha interrotto l’operazione una volta raggiunto il livello di accesso dimostrativo.
| Risorsa coinvolta | Esito rilevato |
|---|---|
| Discourse | Vulnerabilità nella gestione delle immagini |
| Token di autenticazione | Accessibili dalla piattaforma community |
| Account ChatGPT | Raggiunto durante il test |
| Repository GitHub privati | Letture di metadati e modifiche al codice |
| Pesi dei modelli | Non compromessi |
La distinzione è rilevante per valutare l’impatto dell’episodio. Il problema non riguarda l’esfiltrazione dei parametri dei modelli, ma la superficie d’attacco costruita da forum, credenziali, accessi federati e ambienti di sviluppo collegati.
La risposta di OpenAI e cosa cambia per la sicurezza
OpenAI ha revocato token e sessioni interessati, riducendo anche le autorizzazioni associate ai token usati per l’accesso alla community. Discourse ha corretto la vulnerabilità il 25 luglio 2026, lo stesso giorno della segnalazione.
La vicenda rafforza l’attenzione sulla supply chain digitale: servizi esterni, identità condivise e repository richiedono controlli continui, anche quando non ospitano direttamente il codice più sensibile. Restano da seguire gli eventuali aggiornamenti di OpenAI sulle misure difensive e l’evoluzione dei programmi di sicurezza offensiva assistita da modelli.
