WORLDTECHOpenAI与Hacktron合作测试第三方服务连接安全
由 WORLDTECH 译自英文。事实、数字、名称和来源均与英文原文一致。 English
事件经过
OpenAI于2026年11月6日宣布与Hacktron建立合作，旨在查找其系统中的安全漏洞，重点关注与第三方服务的连接，并通过Daybreak Red扩大该安全公司对前沿模型的访问权限。
OpenAI通过其安全漏洞赏金计划结识了Hacktron，并表示对该公司研究人员发现和披露的漏洞影响力印象深刻。
为了在不读取敏感内部代码的情况下证明访问权限，Hacktron使用一名员工的Codex账户，在OpenAI的内部单体仓库中创建了一个无害的拉取请求，随后停止了测试。Hacktron的时间线显示，OpenAI在最初报告后约14小时确认了修复，而Discourse在收到报告两天后就已准备好修复方案。
这为合作确定了具体目标：应用、身份系统和基础设施相互关联时出现的薄弱环节。Hacktron开发用于代码审查、渗透测试和红队演练的AI智能体（即执行多步骤任务而非只回答单一问题的AI），其研究已发现应用、云基础设施和身份系统之间相互作用中的漏洞。
这些能力与新的测试重点直接契合。Hacktron于2026年9月13日发布的说明提供了一个具体案例。
其研究人员表示，他们于2026年7月25日串联了两个严重漏洞，成功入侵多名OpenAI员工的ChatGPT账户，从而可能获得对内部代码库和其他关联服务的访问权限。该攻击链将Discourse托管的社区论坛图像处理路径中的远程代码执行（在另一台机器上运行程序）与OpenAI单点登录问题相结合，使论坛被攻破的影响得以蔓延至ChatGPT和Codex，并进一步波及关联的GitHub集成。
Hacktron已通过OpenAI的Bugcrowd项目以及Discourse报告了这些问题。