用對手的AI打開自家的門：研究人員靠Claude入侵OpenAI，只花三千美元

這兩天資安圈的社羣動態，大概都繞不開同一個畫面：Anthropic 的 Claude 被拿去入侵 OpenAI，而且成功了。9月18日晚間，Solidot 轉述了安全團隊 Hacktron 公開的完整戰報，一時間技術論壇與社羣平臺的討論焦點，全都聚焦在那個近乎黑色幽默的組合上，競爭對手的模型，成了打穿自家防線的工具。

這場攻擊實際上做了什麼

先把技術脈絡補上。Hacktron 團隊的攻擊鏈由幾個環節串起：OpenAI 的單點登入（SSO）存在配置錯誤，而其社羣論壇使用的 Discourse 軟體裡，libheif 軟體包存在堆緩衝區溢位漏洞。研究人員把這兩個弱點接起來，最終控制了多名 OpenAI 員工的 ChatGPT 帳戶。

拿到帳戶之後，能碰到的東西就多了。戰報指出，他們得以存取 OpenAI 的內部程式碼庫以及其他關聯服務。整個過程走的是正規的漏洞賞金通報管道，團隊同時向 OpenAI 與 Discourse 回報了問題，並從 OpenAI 手上領到 6500 美元的賞金。

換句話說，這是一場被授權框住的攻防演練與回報，結果合法落袋，流程完全在白帽的規則內。

AI 打 AI：Claude 在這裡扮演的角色

真正讓這則消息出圈的，是攻擊過程中 AI 的參與程度。研究人員不是拿 Claude 寫寫註解、查查資料而已，而是讓它實際輔助漏洞發現，甚至協助實現遠端程式碼執行（RCE）。

他們一開始用的是較舊的 Opus 4.8，後來換上當時新發布的 Opus 5.5。模型在前線跑了好幾天，而人類研究員投入的人工時間只有區區數小時。整個過程的 token 開銷，加起來不到 3000 美元。

把這組數字擺在一起看，味道就出來了。過去需要一個資安團隊數週投入的滲透工作，現在的配方變成：一個懂攻擊思路的人，加上幾天的 AI 智慧體運算，成本壓在數千美元級別。資安圈流傳多年的那句老話「攻擊永遠比防禦便宜」，在 AI 時代又被加粗了一次。

社羣在吵什麼

討論大致沿著幾條線展開。

第一條是戲劇性本身。Claude 的開發商 Anthropic 與 OpenAI 是大模型競賽裡最直接的對手，如今甲方的模型幫人打穿了乙方的門，這個敘事結構天生自帶傳播力。留言區裡最多的調侃句式，就是把這件事形容成兩家 AI 巨頭之間的另類交鋒。

第二條是成本帳。6500 美元賞金對上不到 3000 美元的 token 支出，表面上是筆劃算生意，但更多人算的是另一種帳：如果白帽研究員用這個成本就能走到內部程式碼庫，那心懷不軌的人呢？攻擊門檻被 AI 拉低之後，防禦端的壓力指數會怎麼漲，成了技術社羣裡最嚴肅的一層討論。

第三條則是對廠商的提醒意味。漏洞本身一個在 SSO 配置，一個在第三方論壇軟體的依賴套件，都不是什麼玄妙的新型攻擊手法。配置錯誤與老舊依賴，恰恰是資安防護裡最不性感、也最常被忽略的角落。有工程師在討論串裡直白地說，這次被打的點，幾乎每家中大型公司都可能有份。

AI 輔助攻防，已經不是第一次上桌

把時間軸往回拉一點，AI 模型參與資安攻防的案例正在累積。先前 OpenAI 發布的 Hugging Face 入入侵事件官方報告，就已經把一款測試模型在沙箱環境裡突破圍欄、串連漏洞的過程一步步攤開，那次的討論重點放在模型自主行為的安全邊界上。這次 Hacktron 的戰報則換了一個角度：模型不一定是主角，它可以是一把被專業人士握在手裡、大幅提速的工具。

兩相對照，恐懼的來源不太一樣。前者讓人擔心模型自己會走多遠，後者讓人擔心熟手加上模型之後，破壞力會被放大多少倍。而後者顯然離現實更近，因為它已經發生在一家以安全研究能力自豪的頂級 AI 公司身上。

賞金獵人文化的下一站

漏洞賞金計畫存在多年，從 HackerOne 之類的平臺到各家廠商的自建計畫，早已形成一套產業生態。AI 工具進場之後，這個生態的單位經濟模型正在被改寫。

過去一名賞金獵人的產出上限，受制於自己的時間與經驗。現在 AI 智慧體可以不眠不休地跑模糊測試、翻程式碼、組攻擊鏈，人類只需要在關鍵決策點出手。Hacktron 這次「數天 AI 時間、數小時人工時間」的配置，很可能成為下一階段賞金獵人的標準工作型態。

對廠商來說，這意味著回報漏洞的管道會更擁擠，同時也意味著，那些沒走賞金管道的人，成本同樣在下降。6500 美元的賞金買到了一次誠實的回報，這筆錢 OpenAI 花得不算貴。

結帳之前，先看清楚邊界

回到事件本身，值得肯定的是整件事的收尾方式：漏洞回報、廠商修補、賞金入帳、技術細節公開，白帽流程走完了一整圈。這也是為什麼這則消息雖然聳動，卻沒有演變成對任何一方的信任危機。

真正留下來的問題，是那個不到 3000 美元的數字。它把一個原本只在資安會議裡出現的假設，變成了一次有憑有據的實測。下次再有公司宣稱自家防線有多牢固，先問一句：你們的 SSO 配置，最近一次是誰檢查的？