OpenAI gehackt: was der Claude-Fall für deine IT bedeutet

Drei Sicherheitsforscher brauchten keinen Monat. Keine Woche. Sie brachen mit Hilfe von Anthropics KI-Modell Claude Opus 5 in interne Systeme von OpenAI ein, ausgerechnet dem Unternehmen, das selbst eines der bekanntesten KI-Modelle der Welt baut. Der Fall zeigt, wie schnell eine Kette kleiner, für sich harmloser Schwachstellen zu einem großen Zugriff wird, sobald ein KI-Modell sie selbst findet und verkettet.

Was ist passiert

Das Team von Hacktron AI, einem auf KI-gestützte Sicherheitstests spezialisierten Unternehmen aus San Francisco, meldete den Fall am 25. Juli 2026 über OpenAIs Bug-Bounty-Programm. Öffentlich bekannt wurde er erst am 17./18. September 2026, unter anderem über TechCrunch, The Register und VentureBeat. Die Forscher Harsh Jaiswal, Mohan Pedhapati und Rahul Maini beschreiben die Kette selbst auf dem Hacktron-Blog.

Startpunkt war OpenAIs öffentliches Hilfe-Forum, technisch aufgesetzt auf der Software Discourse. Ein Bild im HEIC-Format, dort hochgeladen, lief über die Bibliothek ImageMagick und wurde zur Dekodierung an die Bibliothek libheif weitergereicht. Genau dort steckte ein Speicherfehler. Er ließ sich zur vollständigen Codeausführung auf dem Forum-Server ausbauen. Von dort ging es weiter: Das Forum-Login war per Single-Sign-on mit den ChatGPT- und Codex-Konten von OpenAI-Mitarbeitenden verknüpft. Über diese Verbindung übernahmen die Forscher echte Mitarbeiter-Konten und gelangten bis in OpenAIs internes GitHub-Repository. Als Beweis öffneten sie dort einen harmlosen Pull Request. Verändert oder gestohlen haben sie nichts.

Bemerkenswert ist das Tempo. Das für Sicherheitsforschung freigegebene Modell Claude Opus 4.8 fand den Speicherfehler zwar, baute daraus aber keinen funktionierenden Angriff. Dann veröffentlichte Anthropic am 24. Juli 2026 Claude Opus 5. Die Forscher gaben ihm noch am selben Abend dieselbe Aufgabe. Innerhalb weniger Stunden lieferte das Modell funktionierenden Angriffscode, passte ihn eigenständig an eine andere Prozessorarchitektur an und bestätigte den Zugriff auf dem echten Server. Nach eigenen Angaben von Hacktron AI dauerte die komplette Kette vom ersten Exploit bis zum Zugriff auf das interne Repository unter 72 Stunden.

OpenAI reagierte laut eigener, von VentureBeat zitierter Stellungnahme: "Wir danken den Forschern für die Kontaktaufnahme und die Weitergabe ihrer Erkenntnisse. Wir haben die Berechtigungen der Community-Login-Tokens eingeschränkt und betroffene Tokens und Sitzungen widerrufen." Für den Fund zahlte OpenAI 6.500 US-Dollar. Das Unternehmen merkte laut The Register zugleich an, dass Tests gegen das Discourse-Forum selbst formal außerhalb des offiziellen Bounty-Programms lagen, honorierte den Fund auf der OpenAI-Seite der Kette aber trotzdem.

Was das für dich als Unternehmen bedeutet

Kein Angreifer musste hier tagelang Code lesen. Niemand suchte monatelang nach einer Lücke. Eine kleine Gruppe mit Zugang zu einem aktuellen KI-Modell hat gefunden, verkettet und ausgenutzt, wofür früher ein großes, erfahrenes Team gebraucht wurde. Das betrifft nicht nur Konzerne wie OpenAI. Jedes Unternehmen, das ein Hilfe-Forum, einen Kundenbereich oder ein Support-Portal per Single-Sign-on mit seinen Kernsystemen verknüpft hat, Shop-Backend, CRM, internes Wiki, trägt potenziell dieselbe Angriffsfläche. Die Schwäche saß nicht im Kernprodukt. Sie saß in einem Nebensystem, das als weniger kritisch galt und deshalb seltener geprüft wurde.

Was du jetzt tun (oder lassen) solltest

Tun:

1. Alle Single-Sign-on-Verknüpfungen auflisten. Welche Nebensysteme, Forum, Helpdesk, Wiki, Community-Portal, sind mit welchen Kernsystemen verbunden, und wer kann darüber worauf zugreifen?
2. Nebensysteme genauso ernst nehmen wie Kernsysteme. Ein Forum wirkt harmlos, ist aber, sobald es per SSO verbunden ist, ein Tor zum Rest.
3. Datei-Upload-Funktionen prüfen. Wer Nutzer-Uploads verarbeitet, verlässt sich meist im Hintergrund auf Bibliotheken wie ImageMagick, die aktuell gehalten werden müssen.
4. Eine erreichbare Sicherheitskontaktadresse einrichten, wenn noch keine existiert. Sie verwandelt einen möglichen Ernstfall in einen gemeldeten Fund statt in einen echten Schaden.

Lassen:

• Nicht annehmen, das eigene Unternehmen sei zu klein, um interessant zu sein. Die eingesetzte Technik funktioniert an jedem Ziel mit derselben Konstellation aus Nebensystem und SSO, unabhängig von der Unternehmensgröße.
• Nicht aus Sorge vor KI-gestützten Angriffen KI-Tools grundsätzlich meiden. Dieselbe Fähigkeit, Lücken zu finden und zu verketten, lässt sich genauso gegen die eigene Infrastruktur einsetzen, bevor es jemand anderes tut.

Häufige Fragen

Wurden bei OpenAI Daten gestohlen oder Schaden angerichtet? Nein. Es handelte sich um einen angemeldeten Sicherheitstest im Rahmen von OpenAIs Bug-Bounty-Programm. Die Forscher demonstrierten den Zugriff nur mit einem harmlosen Pull Request und meldeten alles, bevor sie es öffentlich machten.

Reicht Zwei-Faktor-Login, um so etwas zu verhindern? Nicht allein. Die Lücke lag nicht im Passwort, sondern in einer fehlerhaften Bild-Verarbeitung und einer zu großzügigen SSO-Verbindung dahinter. Zwei-Faktor-Login schützt vor gestohlenen Zugangsdaten, nicht vor einem Server, der über einen Programmfehler direkt übernommen wird.

Wer nicht weiß, ob eigene Nebensysteme ähnliche Verbindungen zu Kernsystemen tragen, bekommt mit dem kostenlosen Express-Audit einen Report per Mail. Wie eine Infrastruktur aussieht, die solche Angriffsflächen von Anfang an eingrenzt, zeigt der ESD KI-Stack an einem laufenden Beispiel.

Die Einschätzung kommt nicht vom Schreibtisch, sondern von jemandem, der KI selbst tief in einen laufenden Betrieb eingebaut hat. Wie das aussah, steht anonymisiert in der Case Study und der Geschichte dahinter. Dieser Artikel ist eine Orientierung, keine Sicherheitsberatung.

Diesen Artikel hat die KI von ESD geschrieben; ein zweiter, unabhängiger KI-Lauf hat ihn vor der Veröffentlichung gegen die Originalquellen geprüft.