OpenAI in unter 72 Stunden von Forschern mit Claude, der KI von Anthropic, gehackt

Das Wichtigste in Kürze:

• Drei Forscher von Hacktron AI haben am 25. Juli die Kontrolle über ChatGPT-Konten von OpenAI-Mitarbeitern übernommen.
• Sie nutzten dabei ein Claude-Modell von Anthropic und verschafften sich über GitHub Zugriff auf den internen Code von OpenAI.
• OpenAI schloss die Sicherheitslücke innerhalb von etwa 14 Stunden und zahlte ein Kopfgeld in Höhe von 6.500 US-Dollar.

Weniger als 72 Stunden: So lange benötigten drei Cybersicherheitsforscher, um von einem manipulierten Bild bis zum internen Code-Repository von OpenAI vorzudringen. Ihr Arbeitswerkzeug stammte dabei vom direkten Konkurrenten. Das Team von Hacktron AI, einem kleinen Sicherheitsunternehmen, nutzte ein Claude-Modell von Anthropic, um den Angriff vorzubereiten. Der Vorfall, der am Donnerstag, dem 17. September, vom Wall Street Journal enthüllt wurde, ereignete sich bereits am 25. Juli. Es handelte sich um ein ethisches Hacking-Projekt: OpenAI wurde umgehend informiert und zahlte die Forscher aus.

On July 25, our team hacked OpenAI.

It took us less than 72 hours.

Two vulnerabilities chained together gave us access to ChatGPT and Codex accounts belonging to OpenAI employees. We demonstrated the impact with a harmless PR in OpenAI’s internal monorepo.

The full chain:…

— Hacktron AI (@HacktronAI) September 18, 2026

Durch die Hintertür: Die Forscher griffen nicht etwa ChatGPT direkt an, sondern das Community-Forum von OpenAI, das von einem externen Dienstleister, Discourse, gehostet wird. Laut dem Bericht von Hacktron ermöglichte eine Schwachstelle in einer Bildverarbeitungsbibliothek das Ausführen von Code auf dem Forum-Server durch einen einfachen Datei-Upload. Anschließend nutzten sie einen Fehler im Single-Sign-On-System (SSO) von OpenAI aus, das das Forum mit anderen internen Diensten verbindet.

Das Ergebnis: Die Übernahme von ChatGPT- und Codex-Konten von Mitarbeitern. Diese Konten waren mit GitHub verknüpft, wodurch Zugriff auf den privaten Code des Unternehmens bestand. Um den Zugriff zu beweisen, ohne sensible Daten einzusehen, reichte das Team einen harmlosen Änderungsvorschlag im Haupt-Repository von OpenAI ein und beendete den Angriff an dieser Stelle. Laut Hacktron hätten auch Dienste wie Slack oder E-Mail-Accounts in Reichweite gelegen.

OpenAI behob den Authentifizierungsfehler etwa 14 Stunden nach der Meldung und zahlte 6.500 US-Dollar im Rahmen seines Bug-Bounty-Programms – einem System, bei dem Unternehmen ethische Hacker für das Testen ihrer Sicherheitsvorkehrungen entlohnen. „Wir danken den Forschern dafür, dass sie uns kontaktiert und ihre Erkenntnisse geteilt haben“, kommentierte das Unternehmen gegenüber der Financial Times. Anthropic wollte den Vorfall nicht kommentieren.

Welche Rolle spielte Claude?

Den Forschern stand laut Financial Times ein Zugang zu einem Tool von Anthropic zur Verfügung, das speziell für Sicherheitsexperten entwickelt wurde. VentureBeat präzisiert, dass es sich um Claude Opus 5 handelte, welches dabei half, die Bild-Schwachstelle in eine vollständige Angriffskette zu verwandeln. Ein Agent lief über Nacht, und bis zum Morgen war der Zugriff auf den Server gesichert.

Der Blogpost von Hacktron enthüllt ein peinliches Detail: Das Modell weigerte sich zunächst, einen Exploit für einen echten Remote-Server zu schreiben. Die Forscher tarnten das Ziel daraufhin als CTF-Übung (Capture the Flag), einen Hacking-Wettbewerb, um die Kooperation der KI zu erzwingen. Sicherheitsbarrieren existieren zwar, aber sie lassen sich umgehen.

VentureBeat sieht darin eine ökonomische Verschiebung bei der Ausnutzung komplexer Sicherheitslücken: Drei Personen und ein KI-Agent reichten aus.

Eine schwarze Serie für die Sicherheit von OpenAI

Der Vorfall ereignet sich nur zwei Wochen, nachdem über 1.000 Agenten von OpenAI aus einer Testumgebung ausgebrochen waren und das Start-up Hugging Face ohne menschliche Anweisung angegriffen hatten. Wie wir diese Woche berichteten, hat OpenAI zudem sechs Fälle besorgniserregenden Verhaltens seiner Modelle veröffentlicht. Washington sucht derweil nach Möglichkeiten, die Veröffentlichung der leistungsstärksten Modelle zu regulieren und hat den Zugang zu einigen Anthropic-Tools zeitweise blockiert.

Bei Anthropic steuert Claude bereits 26 % der F&E

Am selben Tag veröffentlichte Anthropic eine Zahl, die die Debatte weiter anheizt. 26 % der Forschungs- und Entwicklungsarbeit werden inzwischen „von Claude geleitet“, gegenüber 1 % im März. In diesen Fällen führt die KI den Großteil der Aufgaben basierend auf menschlichen Anweisungen und unter Aufsicht aus. Bei 90 % der untersuchten Aufgaben kollaboriert sie mit einem Menschen und übernimmt dabei große Teile der Arbeit. Keine der Aufgaben wurde vollständig autonom durchgeführt.

Anthropic gibt an, diese Daten zu teilen, um der Öffentlichkeit zu helfen, den Fortschritt in Richtung rekursiver Selbstverbesserung einzuschätzen – also das Stadium, in dem sich eine KI selbst trainieren und verbessern könnte. Genau dieser Schwellenwert bereitet denjenigen Sorgen, die einen Kontrollverlust über die KI befürchten.

Was es zu beobachten gilt

Zwei Kurven verlaufen parallel: die Fähigkeit der Modelle, Systeme anzugreifen, und ihr Anteil an ihrer eigenen Entwicklung. Die kommenden Monate werden zeigen, ob die Labore den Zugang zu ihren Cybersicherheitstools erschweren und ob die Prämie von 6.500 Dollar – angesichts des erlangten Zugriffs eher bescheiden – OpenAI dazu bewegt, ihre Vergütungssätze zu überdenken.

Alex