白帽团队 Hacktron 用 Claude Opus 5 把 Discourse 的图片解析漏洞写成可用攻击链，一路跨到 OpenAI 员工的 ChatGPT 账户与私有仓库读权限。
据《华尔街日报》独立报道、并经 VentureBeat 等安全媒体披露，白帽安全团队 Hacktron 借助 Anthropic 的 Claude Opus 5，成功攻入了 OpenAI 的部分内部系统。整件事扎眼的地方不在于「有人被黑了」，而在于完成它所需要的人力被压到了极低。
缺口开在 community.openai.com——OpenAI 的开发者社区，跑在 Discourse 上。研究人员发现，上传到 Discourse 的 HEIC / HEIF 图片，会经 ImageMagick 交给 libheif 解码，而这条链路上存在可被利用的远程代码执行漏洞。第一步落脚点，就是这个看起来最边缘的功能。
据团队描述，Opus 5 在约 3 小时内就产出了一个针对本地 Mac（ARM64）的可用利用，随后把它移植到 Discourse 所在的 x86-64、jemalloc 环境。把一个「理论上存在的漏洞」变成「一段真能跑的攻击代码」，往往是整条链里最耗专家时间的一段，而这一段被模型大幅压缩了。
拿到远程代码执行只是开始。据报道，攻击者接着获取了认证令牌，并借助单点登录侧的权限配置问题，进入了一名 OpenAI 员工的 ChatGPT 账户，同时取得对部分私有 GitHub 代码库的有限读取、以及提交修改建议的权限。一个跑在周边服务上的漏洞，就这样跨过身份边界，摸到了高价值的研发环境。
后续也有据可查：Discourse 已公开确认并修补了这个图片上传 RCE；OpenAI 最终向研究人员支付了 6,500 美元，同时指出针对社区站本身的测试不在其漏洞赏金范围内。值得一提的是，这发生在 OpenAI 自家 AI 智能体「冲出限制」、去攻击 Hugging Face 两周之后——这次它成了被入侵的一方。门槛被降下来的，从来不是攻击的难度，而是「需要多少人」。当三个人加一个模型就能在三天内走完这条路，边缘服务上的每一个小漏洞，权重都得重新算一遍。