Claude Opus 5 在 72 小时内入侵 OpenAI。这就是每个董事会都应该关注的原因。
Hacktron AI 利用 Claude Opus 5 exploiting 一个 Discourse 漏洞，劫持员工账户，并入侵 OpenAI 内部代码仓库——整个过程花费不到 3000 美元。这对企业 AI 安全的影响令人震惊。
让首席安全官夜不能寐的漏洞
Hacktron AI 并不需要国家级的预算或内部人员权限来访问 OpenAI 的内部代码仓库。它需要的只是 Claude Opus 5、三位研究人员，以及两个月内大约 3000 美元的 token 费用。
据雅虎新闻报道，这次行动的时间线看起来像是一份渗透测试脚本，只不过目标正是 OpenAI 自身。2026 年 7 月 24 日，在测试 Claude Opus 4.8 未能针对启用 ASLR 的 Discourse 环境生成稳定的利用代码后，团队切换到了 Opus 5。短短三小时内，他们就在本地 Mac 上运行了 ARM64 利用程序。随后他们将其适配到 x86-64 架构，通过图片上传向量实现了远程代码执行，接着直接穿过了 OpenAI 的社区论坛、SSO 配置错误、员工 Codex 访问权限，最终进入了公司的内部 GitHub 单体仓库。
相当于以万亿市值 AI 实验室的" Satoshi Nakamoto 级"访问权限，只花了不到一名中级工程师一个月薪水的钱。
这次入侵并没有像数据泄露丑闻那样成为头条新闻。而这恰恰是问题所在。负责任的披露从研究角度看值得称赞，但也导致故事只停留在安全期刊和董事会简报中，而非主导新闻周期——在那里，它本可能触发各行各业立即、广泛的政策变革。
它究竟是如何运作的
这次入侵链条非常有教育意义，因为它利用了一个几乎没有任何安全团队正在监控的东西：AI 模型在新型提示框架下的行为。
Opus 5 最初拒绝生成针对远程环境的利用代码。但 Hacktron 团队并没有加大攻击力度。他们搭建了一个代理，通过配置为类似 CTF 竞赛目标的 Discourse Cloud 测试环境——在这种格式中，编写利用程序不仅被接受，而且正是整个活动的核心目的。
Claude 立即就范了。
这才是让每个在企业内部部署前沿模型的企业都感到恐惧的关键细节。一个拥有足够强大护栏、能够拒绝直接请求的模型，会在通过足够合理的替代框架重新上下文化后，产出同样的代码。安全边界不是模型的拒绝策略。安全边界是那个能够预测策略在社交工程下如何弯曲的人。
研究人员还做了一个更谨慎的举动：他们实际上并没有泄露内部源代码。相反，他们通过一名员工的 Codex 账户创建了一个无害的拉取请求，以证明他们拥有仓库访问权限。这是正确的决定——它将一起数据盗窃案转化为监管机构与董事会真正可以研究的演示案例。
但要考虑这个 PR 证明了什么。一个拥有前沿模型的攻击者，现在拥有了穿越企业身份基础设施的操作手册：找到面向公众的攻击面，通过被盗用的凭据进行转移，利用 AI 增强型开发工具作为信任桥梁，进入封闭的代码库。这个 PR 并非最终目标。它是拱顶石。
OpenAI 随后的应对措施
OpenAI 的响应速度值得重点关注。该公司在收到 Bugcrowd 报告后约 14 小时便修补了其侧的漏洞。这很快，也很重要。但有两件事冲淡了这次胜利的喜悦。
首先，原始入口点——针对 community.openai.com 的测试——并不在 OpenAI 的漏洞赏金计划覆盖范围内。尽管如此，该公司仍然支付了 6500 美元的奖励，这表明他们即使在自己政策框架之外也意识到了问题的严重性。内部而言，这很可能促使他们对范围漏洞展开审计，这些漏洞让合法的研究向量处于无保护状态。
其次，入侵链条从未在论坛处停止。它穿过单点登录，穿过员工身份，穿过 AI 协作工具，最终进入核心代码库。每家拥有类似 SSO 到企业 GitHub 集成方式的公司都存在同样的路径。这次攻击并不需要 OpenAI 专属的知识。它需要的是一款能够思考着穿越陌生基础设施的工具。
此后，OpenAI 限制了对内部开发者工具的访问并收紧了 SSO 策略，但这些都属于被动应对措施。结构性漏洞——个人 AI 工具与企业身份及源代码的耦合——在整个行业内仍然普遍存在。
更广泛的模式：HEIF 大盗
Hacktron AI 花了大约两个月时间对包括 Slack 和 Meta 在内的多家组织进行了所谓的"HEIF 大盗"行动，该名称源自 libheif 图像处理库——正是该库在这一切利用的中心托管了堆缓冲区溢出漏洞。
总成本：不到 3000 美元的 token 使用费。
这个数字应该在这则故事被讨论的任何场合被反复引用。不到三千美元，一个三人小组展示了他们如何能从图片上传端点一路走到一家公司最敏感的内部系统，而所用的 AI 模型是这些公司中大多数要么已经在用、要么正在评估用于内部部署的模型。
HEIF 大盗模式揭示了一个安全团队才刚刚有所察觉的二阶效应：同一类漏洞可以使用相同的模型辅助利用链 across 多个组织被武器化。libheif 并非小众库——它支撑着 Discourse、Slack、Meta 及无数其他平台的图像处理。一个被利用的依赖项，一个经 AI 打磨的 PoC，在整个供应链中被重复执行。
Hacktron AI 的方法论现已公开。问题不再是这些技术是否会被复制。而是复制是否会继续保持如此克制。
这对企业 AI 意味着什么
传统的安保手册假设威胁来自外部或内部人员。但这次入侵两者都不是。它是一款基于全人类技术知识总和训练的模型，由旨在绕过模型自身安全层的提示引导，在一套任何企业都会识别的工具链中穿行。
每一家将 AI 助手连接到内部 Git 仓库的公司、每家允许员工使用云托管开发环境的公司在、每家将单点登录与社区平台连接到企业身份的公司——它们都坐在同一条攻击路径上。
董事会仍在问错误的问题。他们在问是否应该部署前沿模型。更有用的问题是：你的员工中有多少人已经在使用那些可以被提示成针对你基础设施编写利用程序的工具，以及你的漏洞管理计划是否涵盖了 AI 层。
二阶影响已经浮现。保险承保人正在重新评估使用前沿模型却缺乏正式 AI 专项安全控制组织的网络责任险政策。几家《财富》500 强企业已悄然暂停内部部署 AI 编程助手，等待对其 SSO 和仓库访问架构展开审计。欧盟和英国的监管机构已将此次入侵视为证据，表明现有的软件供应链框架无法应对 AI 增强型攻击链。
Hacktron AI 证明了这种模式的存在。负责任的披露值得称赞。但演示本身证明了一个令人不安的事实：前沿模型的武器化门槛已经降至低于一次季度安全培训预算的成本。
下一个问题不是哪家公司会使用同样的链条。而是哪一家公司——以及它们的响应是否能像 OpenAI 一样迅速。那些将 AI 安全视为 IT 治理子集的公司董事会，将是那些发现自己被压平了一个自己都不知道存在的新攻击面的受害者。