نفوذ به حساب‌های OpenAI با آسیب‌پذیری ImageMagick؛ تحقق پیش‌گویی عجیب کمیک XKCD

• تیم تحقیقاتی Hacktron با استفاده از سرریز بافر در کتابخانه libheif از طریق ImageMagick در انجمن گفت‌وگوی OpenAI و بهره‌برداری از باگ ورود یکپارچه (SSO)، توانست به حساب‌های کارمندان در ChatGPT و Codex دسترسی پیدا کند.
• این پژوهشگران به کمیک معروف شماره ۲۳۴۷ از مجموعه XKCD اشاره کردند که در سال ۲۰۲۰ به‌شکلی طنزآمیز پیش‌بینی کرده بود کتابخانه ImageMagick سرانجام دچار شکست امنیتی خواهد شد.
• کتابخانه ImageMagick صرفاً مسیر دسترسی به مؤلفه اصلی یعنی دیکودر کم‌تر شناخته‌شده libheif بود؛ ماژولی که به‌طور غیرمستقیم در سرویس‌هایی نظیر Slack ،Meta و GitHub Enterprise نیز به کار رفته است.

هنگامی که تیم تحقیقاتی Hacktron AI گزارش ماه‌ها پژوهش خود پیرامون آسیب‌پذیری‌های libheif را منتشر کرد، به تصویری آشنا ارجاع داد که به نوعی نشان‌دهنده چگونگی نفوذ اولیه آن‌ها به زیرساخت‌های OpenAI بود.

آن‌ها مخاطبان را به کمیک شماره ۲۳۴۷ از مجموعه XKCD، اثر رندال مونرو در سال ۲۰۲۰، ارجاع دادند؛ کارتون وب معروفی که نشان می‌دهد تمام زیرساخت‌های دیجیتال مدرن دنیا بر پایه‌ی قطعه‌کد کوچکی بنا شده‌اند که فردی ناشناس در نبراسکا بدون هیچ چشم‌داشتی از آن نگهداری می‌کند.

این تشبیه کاملاً ملموس است، اما در عین حال نکته پنهان و جالب‌توجهی دارد که می‌توان آن را نوعی پیش‌بینی از این نفوذ قلمداد کرد.

متن جایگزینی که در سال ۲۰۲۶ به‌طرز کنایه‌آمیزی محقق شد

نکته پنهان مورد بحث چیزی است که باید به‌دقت دنبال آن گشت؛ اگر نشانگر ماوس را روی کمیک اصلی نگه دارید، این متن جایگزین (Alt-text) نمایش داده می‌شود: «روزی سرانجام ImageMagick برای همیشه از کار خواهد افتاد و ما مدت‌ها سردرگم خواهیم بود تا تمدن را از میان آوارها بازسازی کنیم.»

کنایه ماجرا اینجاست که شش سال پس از انتشار آن کمیک، ImageMagick دقیقاً در همان نقطه‌ای قرار گرفت که رخنه امنیتی از آن عبور کرد و شوخی طنزآمیز نویسنده را به یک پیش‌گویی ناخواسته تبدیل کرد.

جزئیات فنی این ماجرا بسیار حائز اهمیت است، به‌ویژه در شرایطی که بحث ایمنی هوش مصنوعی به محور اصلی گفتمان عمومی و نشست‌های بین‌المللی تبدیل شده و اخیراً مدیران ارشد OpenAI و Anthropic نیز در سازمان ملل به آن پرداخته‌اند.

بر اساس بررسی‌های Hacktron، انجمن جامعه کاربری OpenAI با آدرس community.openai.com روی پلتفرم متن‌باز Discourse اجرا می‌شود. ابزار بررسی تصویر این پلتفرم با نام FastImage از فرمت HEIF پشتیبانی نمی‌کند و این وظیفه را به‌صورت پنهان به دستور magick در کتابخانه ImageMagick می‌سپارد که آن هم به نوبه خود دیکودر اصلی این فرمت، یعنی libheif را فراخوانی می‌کند.

نسخه‌ای که روی سرورهای این انجمن از طریق مخازن Debian نصب شده بود، از یک باگ سرریز بافر در حافظه هیپ (Heap Buffer Overflow) رنج می‌برد؛ نقصی که سال گذشته بدون برچسب‌گذاری به عنوان ریسک امنیتی برطرف شده بود و همین موضوع به تیم Hacktron اجازه داد تا از آن به‌عنوان دروازه ورود استفاده کند.

این تیم امنیتی سپس چندین آسیب‌پذیری را در قالب یک حمله زنجیره‌ای پیاده‌سازی کرد و با سوءاستفاده از یک پیکربندی نادرست در سیستم ورود یکپارچه (SSO) سمت OpenAI، موفق شد انجمن را به مسیری برای دسترسی به حساب‌های ChatGPT و Codex کارمندان تبدیل کند؛ به‌طوری‌که هر کاربری که از طریق انجمن وارد حساب خود می‌شد، امکان دسترسی به این سطوح را پیدا می‌کرد.

این رخنه به محققان امکان داد به مخزن داخلی GitHub سرویس ChatGPT دسترسی پیدا کنند و در آنجا برای اثبات مفهوم (PoC) یک پول‌ریکوئست بی‌خطر ایجاد کرده و سپس موضوع را به اطلاع OpenAI برسانند. شرکت OpenAI ظرف ۱۴ ساعت این رخنه را برطرف کرد و پاداش ۶٬۵۰۰ دلاری به این تیم اهدا نمود. تیم Discourse نیز پس از ارزیابی این باگ پردازش تصویر با امتیاز ۸.۸ در مقیاس CVSS، پچ امنیتی مربوطه را منتشر کرد و برای افزایش لایه‌های دفاعی، پردازش تصاویر را به محیط ایزوله (Sandbox) منتقل ساخت.

این آسیب‌پذیری تنها محدود به OpenAI نیست؛ دیکودرهای libheif و libde265 از طریق ImageMagick ،libvips ،Sharp، بسته‌های توزیع‌های لینوکسی و ایمیج‌های از پیش‌ساخته کانتینری به محیط‌های عملیاتی راه پیدا می‌کنند. تیم Hacktron ردپای این آسیب‌پذیری را در سرویس‌ها و فریم‌ورک‌های بزرگی نظیر Slack ،Meta ،GitHub Enterprise ،Ruby on Rails و اکوسیستم‌های Node.js از جمله Next.js ،Astro و Gatsby شناسایی کرده است؛ امری که نشان می‌دهد پیامدهای عدم اصلاح این باگ بسیار فراتر از یک شرکت حوزه هوش مصنوعی خواهد بود.

نکته قابل‌توجه در شیوه کار Hacktron، بهره‌گیری از مدل‌های هوش مصنوعی Claude Opus 4.8 و سپس نسخه Opus 5 محصول شرکت Anthropic بود. این تیم سه‌نفره با هزینه‌ای کمتر از ۳٬۰۰۰ دلار برای مصرف توکن‌ها، موفق شد اکسپلویت مربوطه را ظرف تنها دو ماه آماده کند. البته آن‌ها برای متقاعد کردن هوش مصنوعی Anthropic ناچار شدند محیط آزمایشی خود را در قالب یک چالش تسخیر پرچم (CTF) به این مدل معرفی کنند تا مدل با اجرای درخواست‌ها موافقت نماید.

اگرچه ساخت این اکسپلویت بدون کمک هوش مصنوعی نیز غیرممکن نبود، اما به یک تیم کوچک اجازه داد تا با سرعتی هم‌تراز تیم‌های بزرگ امنیتی عمل کنند؛ رویدادی که نشان می‌دهد هدایت هوشمندانه چت‌بات‌های هوش مصنوعی می‌تواند نتایج فوق‌العاده‌ای به همراه داشته باشد.