Es ist die Art von Geschichte, die in der KI-Branche für Gänsehaut sorgt: Ein Konkurrent wird nicht von Menschen gehackt, sondern von der KI eines anderen Labors. Drei Forscher der Sicherheitsfirma Hacktron haben mit Anthropics Claude Opus 5 zwei Schwachstellen bei OpenAI so kombiniert, dass sie Konten aktiver Mitarbeiter kapern und bis in ein internes Code-Repository vordringen konnten. Und das Verrückteste daran: Das Vorgängermodell hatte an genau diesem Problem noch gescheitert.
SO LIEF DIE KETTE: Vom Hilfeforum bis zum Repository
Der Einstiegspunkt war denkbar unspektakulär: die Software hinter OpenAIs öffentlichem Hilfeforum. Ein präparierter Bild-Upload genügte, um darüber Code auf dem Forum-Server auszuführen. Für sich genommen wäre das bereits ärgerlich — aber die Forscher gingen weiter. Eine zweite Schwachstelle, eine Fehlkonfiguration in OpenAIs Single-Sign-On, öffnete von dort aus die Tür zu den eigentlichen Konten: Wer im Forum aktiv war, bekam sein ChatGPT- und Codex-Konto übernommen — ohne dass die Betroffenen irgendetwas dafür tun mussten.
Als ein Mitarbeiter seinen Codex-Link zu OpenAIs Code auf GitHub öffnete, löste das automatisch einen einzelnen Pull-Request im internen Repository aus. Die Forscher betonen ausdrücklich, was nicht passiert ist: Es wurde kein Quellcode gelesen, nichts gemerged oder ausgeliefert, keine Kundendaten berührt. Das war kontrollierte Sicherheitsforschung — kein realer Angriff.
DER ENTSCHEIDENDE UNTERSCHIED: Opus 4.8 scheiterte, Opus 5 nicht
Der Satz, der die Runde macht, stammt direkt aus dem Hacktron-Blogbeitrag: „Opus 4.8 hat sich über mehrere Sitzungen hinweg abgemüht, einen funktionierenden Exploit zu bauen. Innerhalb von Stunden nach dem Release von Opus 5 haben wir ihm dasselbe Problem gegeben — und es hat funktioniert.“ Zwischen den beiden Modellversionen lag also nicht Wochen, sondern buchstäblich der Sprung von „schafft es nicht“ zu „schafft es in wenigen Stunden“.
Das ist der eigentliche Nachrichtenwert dieser Geschichte: Es geht nicht nur um zwei konkrete Lücken bei OpenAI, sondern um einen sichtbaren Sprung in der Fähigkeit aktueller KI-Modelle, komplexe Exploit-Ketten selbstständig zu entwickeln — ausgerechnet demonstriert an einem der bestabgesicherten KI-Unternehmen der Welt.
ZEITLEISTE: Von der Entdeckung bis zur Bug-Bounty
Vom ersten Zugriff bis zum internen Repository vergingen nach Angaben von Hacktron keine 72 Stunden. Die Forscher meldeten die Kette anschließend an OpenAI. Laut Hacktron bestätigte OpenAI einen Fix bereits rund 14 Stunden nach der Meldung — ein für eine so verzweigte Kette ungewöhnlich schnelles Tempo. Am 1. September zahlte OpenAI dem Team eine Bug-Bounty von 6.500 US-Dollar.
WAS DAS FÜR DICH BEDEUTET
Wenn du kein OpenAI-Mitarbeiter bist, musst du nichts tun — diese konkrete Lücke ist längst geschlossen. Trotzdem lohnt der Blick auf das Muster, denn es ist auf jede Self-Hosting- oder Firmen-Infrastruktur übertragbar, die du selbst betreust:
- Öffentliche Nebensysteme sind Einstiegstüren. Ein Forum, ein Wiki, ein Ticket-System — alles, was Datei-Uploads entgegennimmt, verdient dieselbe Härtung wie der Hauptdienst.
- SSO ist nur so sicher wie seine Konfiguration. Eine einzelne Fehlkonfiguration im Single-Sign-On kann jeden noch so guten Perimeter aushebeln.
- KI-gestützte Angriffe werden schneller, nicht seltener. Was gestern noch Fachwissen und Wochen brauchte, schafft ein aktuelles Modell heute in Stunden — auch in die andere Richtung, für die eigene Verteidigung.
FAZIT: Ein Weckruf mit doppeltem Boden
Diese Geschichte funktioniert auf zwei Ebenen. Für OpenAI ist es eine unangenehme, aber glimpflich verlaufene Lektion über die eigene Angriffsfläche. Für den Rest der Branche ist sie ein Beleg dafür, wie schnell sich die Fähigkeiten von KI-Modellen beim autonomen Verketten von Schwachstellen weiterentwickeln — ein Trend, den du im eigenen Homelab genauso ernst nehmen solltest wie ein Sicherheitsteam bei einem Frontier-Labor.