Einstieg war das öffentliche Forum community.openai.com, das auf der Software Discourse läuft. Deren Bildprüfung unterstützt das Apple-Format HEIC nicht und reicht solche Uploads an ImageMagick weiter, das wiederum die Bibliothek libheif aufruft – in der Debian-12-Fassung 1.19.7 mit einem Heap-Überlauf. Behoben war der Fehler im Ursprungscode schon ein Jahr zuvor, aber als Aufräum-Änderung ohne Sicherheitshinweis und ohne CVE-Nummer.
Über eine zweite Schwachstelle – eine Fehlkonfiguration im Single-Sign-on, also der zentralen Anmeldung – übernahmen die Forscher ChatGPT- und Codex-Konten von Beschäftigten. Um die Reichweite zu zeigen, ohne fremden Code zu lesen, ließen sie über den GitHub-Anschluss eines Codex-Kontos den Pull Request #1186742 – einen Änderungsvorschlag – in der internen Code-Ablage öffnen und brachen dort ab. OpenAI bestätigte den Fix rund 14 Stunden nach der Meldung, Discourse lieferte seinen am 27. Juli; das Bounty-Programm zahlte 6.500 US-Dollar.
Für die Einordnung der Modelle ist die Zeitleiste der interessante Teil. Mit Claude Opus 4.8 kam das Team über mehrere Sitzungen zu keinem funktionierenden Exploit, solange die Speicherverwürfelung ASLR aktiv war. Wenige Stunden nach dem Erscheinen von Opus 5 bekam dieses dieselbe Aufgabe und lieferte nach Angaben des Teams binnen drei Stunden einen lauffähigen Exploit für einen lokalen Mac.
Das gesamte Projekt lief nach Hacktrons Darstellung über zwei Monate, kostete weniger als 3.000 US-Dollar an Modellnutzung und wurde von drei Personen getragen. Die Firma verkauft selbst KI-gestützte Sicherheitsprüfungen – alle diese Zahlen sind Eigenangaben ohne unabhängige Replikation. OpenAI erklärt die Lücken für behoben.