KI beschleunigt Sicherheitsforschung bei OpenAI und offenbart Risiken vernetzter Identitäten

Der zeitliche Ablauf

Die von Hacktron veröffentlichte Dokumentation datiert den entscheidenden Teil der Untersuchung auf Ende Juli 2026. Zunächst analysierte das Team die Schwachstelle in der Bildverarbeitung und versuchte, daraus eine zuverlässige Ausführung eigenen Codes abzuleiten. Die erste Modellversion lieferte dabei nach Angaben der Forscher keinen stabilen Angriff unter aktivierten Schutzmechanismen.

Nach dem Wechsel auf Claude Opus 5 gelang die Entwicklung eines belastbareren Exploit-Ansatzes in einer lokalen Umgebung. Anschließend übertrug das Team die Erkenntnisse auf eine Testinstanz, die der Umgebung des Forums ähnelte. Im nächsten Schritt wurde die Verbindung zwischen dem Forum und OpenAIs Identitätsinfrastruktur untersucht.

Nachdem die Forscher nach eigenen Angaben Zugriff auf Konten erlangt hatten, prüften sie die Reichweite der Berechtigungen. Anstatt sensible Dateien auszulesen oder Veränderungen an produktiven Systemen vorzunehmen, legten sie zur Demonstration einen Pull Request in einem internen Monorepository an. Dieser sollte belegen, dass die kompromittierten Konten tatsächlich mit dem internen Entwicklungsumfeld verbunden waren.

Hacktron meldete die Schwachstellen an OpenAI. Das Unternehmen erklärte, die Probleme behoben zu haben. Dazu gehörten nach den vorliegenden Berichten eine Einschränkung der Berechtigungen von Community-Sitzungstokens sowie der Widerruf betroffener Tokens und aktiver Sitzungen. Auch Discourse habe auf die Schwachstelle in der Bildverarbeitung reagiert.

Welche Daten waren betroffen?

Die Angaben zum Umfang des Zugriffs sind begrenzt und stammen teilweise aus den Darstellungen der Sicherheitsforscher sowie aus Berichten über eine Stellungnahme von OpenAI. OpenAI soll von einem begrenzten Lesezugriff auf Metadaten und Code privater Repositories gesprochen haben. Zugleich betonte das Unternehmen, dass die Schwachstellen behoben worden seien.

Nach Angaben von Hacktron wurden keine sensiblen Informationen gezielt untersucht. Der Nachweis über den Zugriff erfolgte demnach durch eine kontrollierte Aktion im internen Repository. Das unterscheidet den Vorfall von einem klassischen Datendiebstahl, bei dem Angreifer vertrauliche Dokumente kopieren oder veröffentlichen.

Dennoch ist die mögliche Reichweite eines solchen Zugriffs nicht zu unterschätzen. Entwicklungsrepositories können Quellcode, interne Dokumentation, Konfigurationsdateien, Testdaten, Hinweise auf Infrastruktur und Informationen über geplante Produktfunktionen enthalten. Selbst wenn keine sensiblen Inhalte abgerufen wurden, stellt die Möglichkeit eines solchen Zugriffs ein erhebliches Sicherheitsrisiko dar.

Besonders relevant ist dabei die Verbindung zwischen Identitätskonten und externen Integrationen. Moderne Entwicklungsassistenten und Coding-Agenten können auf GitHub, Cloud-Dienste, Ticketsysteme oder interne Wissensdatenbanken zugreifen. Werden diese Verbindungen über ein einzelnes Konto gebündelt, kann eine kompromittierte Identität weitreichendere Folgen haben als ein isolierter Angriff auf eine einzelne Anwendung.

Warum der Vorfall für die gesamte Branche relevant ist

Der Fall zeigt mehrere Entwicklungslinien, die für Unternehmen jeder Größe von Bedeutung sind. Erstens können KI-Modelle die technische Einstiegshürde bei anspruchsvollen Sicherheitsaufgaben senken. Zweitens steigt die Bedeutung einer konsequenten Trennung von Identitäten, Diensten und Berechtigungen. Drittens müssen Organisationen ihre Sicherheitsmodelle auf kürzere Angriffszeiten ausrichten.

Die Geschwindigkeit wird zum Sicherheitsfaktor

Viele Sicherheitskonzepte gehen implizit davon aus, dass die Entwicklung eines komplexen Angriffs erhebliche Zeit, Fachwissen und finanzielle Ressourcen erfordert. Diese Annahme war nie absolut, bildete aber in der Praxis eine gewisse Hürde. KI-Systeme können Teile der erforderlichen Arbeit beschleunigen: Sie analysieren Quellcode, erklären Fehlermeldungen, erzeugen Testprogramme, schlagen Varianten vor und helfen bei der Anpassung an unterschiedliche Umgebungen.

Hacktron erklärte, die gesamte Untersuchung habe weniger als 3.000 US-Dollar an Modellkosten verursacht. Diese Zahl bezieht sich nach den verfügbaren Informationen auf die KI-Nutzung im Rahmen eines größeren Forschungsprojekts und nicht zwingend ausschließlich auf den OpenAI-Vorfall. Sie verdeutlicht dennoch, dass moderne Sicherheitsforschung mit vergleichsweise begrenzten finanziellen Mitteln betrieben werden kann.

Für die Verteidigung bedeutet dies, dass die Zeitspanne zwischen dem Bekanntwerden einer Schwachstelle und ihrer praktischen Ausnutzung kürzer werden kann. Sicherheitsabteilungen können sich nicht ausschließlich auf periodische Prüfungen und manuelle Freigabeprozesse verlassen. Automatisierte Überwachung, schnelle Patch-Prozesse und eine kontinuierliche Bewertung von Abhängigkeiten gewinnen an Bedeutung.

Identitäten sind häufig wichtiger als einzelne Anwendungen

Der Vorfall unterstreicht außerdem die zentrale Rolle von Identitäts- und Berechtigungssystemen. Ein Angreifer muss nicht zwangsläufig direkt in ein geschütztes Repository eindringen, wenn er über eine Schwachstelle in einem vorgeschalteten Dienst gültige Zugriffsrechte übernehmen kann.

Unternehmen sollten deshalb prüfen, welche Dienste ihre Identitätsanbieter verwenden, wie lange Tokens gültig bleiben und ob Sitzungsinformationen dienstübergreifend akzeptiert werden. Auch die Frage, ob ein Token für einen einzelnen Zweck ausgestellt oder in mehreren Anwendungen wiederverwendet wird, ist sicherheitsrelevant.

Ein zeitgemäßes Berechtigungsmodell sollte den Grundsatz der geringstmöglichen Rechte umsetzen. Konten, automatisierte Agenten und Integrationen sollten nur den Zugriff erhalten, der für ihre konkrete Aufgabe notwendig ist. Zusätzlich sollten Sitzungen kurzlebig sein, an einen bestimmten Kontext gebunden werden und bei verdächtigen Aktivitäten automatisch entzogen werden können.

Konsequenzen für Unternehmen und IT-Verantwortliche

Der konkrete Vorfall betrifft OpenAI, die daraus ableitbaren Maßnahmen gelten jedoch für viele Organisationen. Unternehmen setzen zunehmend auf zentrale Login-Systeme, Entwicklerplattformen, Cloud-Dienste und KI-gestützte Arbeitswerkzeuge. Diese erhöhen die Produktivität, schaffen aber auch neue Abhängigkeiten und mögliche Angriffspfade.

Für Ihre Sicherheitsstrategie sind insbesondere folgende Prüfbereiche relevant:

• Drittanbieterabhängigkeiten: Inventarisieren Sie Bibliotheken, Konverter und Frameworks, die in öffentlich erreichbaren Anwendungen verarbeitet werden. Entscheidend ist nicht nur, ob ein Patch existiert, sondern ob er in allen tatsächlich eingesetzten Distributionen und Container-Images angekommen ist.
• Single Sign-on: Prüfen Sie, ob Tokens ausschließlich für den vorgesehenen Dienst gültig sind. Eine Anmeldung in einem Forum sollte nicht automatisch einen weitreichenden Zugriff auf Entwicklungs- oder Produktivsysteme ermöglichen.
• Verknüpfte Konten: Dokumentieren Sie, welche externen Systeme mit Mitarbeiterkonten, Coding-Agenten und Servicekonten verbunden sind. Entfernen Sie nicht benötigte Integrationen und begrenzen Sie deren Berechtigungen.
• Servicekonten und KI-Agenten: Vergeben Sie für automatisierte Systeme eigene Identitäten mit klar begrenzten Rechten. Persönliche Mitarbeiterkonten sollten nicht als dauerhafte technische Schnittstelle für autonome Werkzeuge dienen.
• Token- und Sitzungsmanagement: Verkürzen Sie die Gültigkeit von Tokens, unterstützen Sie den zentralen Widerruf und überwachen Sie ungewöhnliche Standort-, Geräte- oder Zugriffsmuster.
• Überwachung von Entwicklungsplattformen: Analysieren Sie Pull Requests, Repository-Zugriffe, API-Aufrufe und Änderungen an Berechtigungen. Ein unerwarteter Pull Request kann ein wichtiger Hinweis auf eine kompromittierte Identität sein.
• Bug-Bounty-Prozesse: Definieren Sie klare Regeln für Sicherheitsforscher, sichere Testumgebungen und schnelle Meldewege. Gut ausgestaltete Programme können Schwachstellen sichtbar machen, bevor sie von kriminellen Akteuren ausgenutzt werden.
• Incident Response: Legen Sie Verfahren fest, mit denen Tokens, Sitzungen, Integrationen und Konten im Notfall gleichzeitig deaktiviert werden können. Geschwindigkeit ist bei KI-gestützten Angriffen ein entscheidender Faktor.

Defensive Nutzung von KI

Die gleiche Technologie, die Sicherheitsforscher bei der Analyse eines Exploits unterstützt, kann auch für die Verteidigung eingesetzt werden. KI-Systeme können große Mengen an Quellcode, Protokolldaten und Konfigurationsdateien untersuchen, bekannte Schwachstellen priorisieren und Sicherheitsverantwortliche bei der Erstellung von Tests unterstützen.

Für einen sicheren Einsatz ist jedoch eine klare Governance erforderlich. Unternehmen sollten festlegen, welche Daten in externe Modelle eingegeben werden dürfen, wie Ausgaben geprüft werden und wann menschliche Freigaben erforderlich sind. Besonders bei sicherheitskritischen Änderungen darf generierter Code nicht ungeprüft in produktive Systeme übernommen werden.

Darüber hinaus sollte der Einsatz von KI in der Sicherheitsarbeit selbst überwacht werden. Dazu gehören Protokollierung, Zugriffskontrollen, getrennte Testumgebungen und Regeln für den Umgang mit Exploit-Code. Ein Modell kann bei der Analyse helfen, darf aber nicht automatisch über produktive Infrastruktur verfügen, wenn keine geeigneten Sicherheitsvorkehrungen bestehen.

Verantwortungsvolle Sicherheitsforschung bleibt entscheidend

Der OpenAI-Fall fand im Rahmen eines Bug-Bounty-Programms statt. Das ist für die Einordnung wichtig, weil die Forscher ihre Aktivitäten offenbar mit dem Ziel durchführten, Schwachstellen kontrolliert zu melden. Gleichzeitig zeigt der Vorfall, wie schmal der Grat zwischen legitimer Sicherheitsforschung und unbefugtem Eindringen sein kann.

Entscheidend sind eine eindeutige Autorisierung, eine Begrenzung der Tests auf vereinbarte Systeme sowie der Verzicht auf unnötige Einsicht in vertrauliche Daten. Für Unternehmen empfiehlt es sich, Bug-Bounty-Regeln möglichst präzise zu formulieren. Dazu gehören Vorgaben zu Testkonten, Datenzugriff, Beweissicherung, automatisierten Werkzeugen und der Kommunikation während eines laufenden Tests.

Auch Sicherheitsforscher müssen transparent dokumentieren, welche Systeme betroffen waren, welche Daten potenziell zugänglich gewesen wären und welche Schritte tatsächlich durchgeführt wurden. Eine kontrollierte Demonstration – etwa durch einen ungefährlichen Testeintrag – kann dabei aussagekräftiger und risikoärmer sein als das Auslesen realer Daten.

Ein Vorgeschmack auf die nächste Phase der Cybersecurity

Der Vorfall steht für eine neue Phase, in der nicht nur die Leistungsfähigkeit von KI-Modellen, sondern auch deren Rolle im Sicherheitsökosystem bewertet werden muss. Modelle können komplexe Aufgaben in kleinere Schritte zerlegen, technische Dokumentation durchsuchen und Lösungen iterativ verbessern. Dadurch werden Tätigkeiten beschleunigt, die früher stärker von der Verfügbarkeit spezialisierter Fachkräfte abhängig waren.

Die Entwicklung ist weder ausschließlich positiv noch ausschließlich negativ. Sicherheitsforscher erhalten bessere Werkzeuge, um Schwachstellen aufzudecken und zu beheben. Gleichzeitig können dieselben Fähigkeiten missbraucht werden, um Angriffe schneller zu planen und an unterschiedliche Zielumgebungen anzupassen.

Für Unternehmen folgt daraus, dass klassische Schutzmaßnahmen weiterhin notwendig bleiben, aber allein nicht ausreichen. Patch-Management, Netzwerksegmentierung, Mehrfaktor-Authentifizierung und Protokollierung müssen mit einem konsequenten Identitätsmanagement und einer laufenden Bewertung von KI-Risiken verbunden werden.

Der Fall bei OpenAI macht zudem deutlich, dass ein System nicht erst dann als gefährdet gilt, wenn große Mengen an Daten entwendet wurden. Bereits die Kombination aus Codeausführung in einem vorgeschalteten Dienst, wiederverwendbaren Identitätsinformationen und weitreichenden Kontointegrationen kann eine kritische Angriffskette bilden.

Fazit

Die Sicherheitsforscher von Hacktron AI nutzten Anthropic’s Claude nach eigenen Angaben, um innerhalb von weniger als 72 Stunden eine Angriffskette gegen OpenAI zu entwickeln. Ausgangspunkt war eine Schwachstelle in der Verarbeitung bestimmter Bilddateien im Community-Forum. Eine zusätzliche Schwäche in der SSO-Infrastruktur ermöglichte anschließend den Zugriff auf Mitarbeiterkonten und verbundene Entwicklungsressourcen.

OpenAI und Discourse haben die gemeldeten Probleme nach den vorliegenden Informationen behoben. Der Vorfall wurde im Rahmen eines Bug-Bounty-Programms untersucht und gemeldet. Ein umfassender Datendiebstahl wurde nicht berichtet; die Forscher erklärten, sensible Inhalte nicht eingesehen zu haben.

Die übergeordnete Bedeutung des Falls liegt in der Kombination aus Automatisierung, zentralen Identitäten und stark vernetzten Entwicklungsumgebungen. KI kann die Zeit für Sicherheitsanalysen erheblich verkürzen. Unternehmen sollten deshalb ihre Sicherheitsmodelle darauf ausrichten, dass die praktische Ausnutzung öffentlich bekannter oder schlecht abgesicherter Schwachstellen deutlich schneller erfolgen kann als bisher.

Für die Verantwortlichen in IT, Informationssicherheit und Compliance ergibt sich daraus ein klarer Handlungsrahmen: Abhängigkeiten müssen kontinuierlich überwacht, Berechtigungen konsequent begrenzt, Tokens sicher verwaltet und KI-gestützte Werkzeuge in kontrollierten Umgebungen eingesetzt werden. Der Vorfall ist damit weniger eine Geschichte über ein einzelnes Modell oder ein einzelnes Unternehmen als ein Beispiel für die sich verändernde Geschwindigkeit und Struktur moderner Cybersecurity.

Bibliografie

1. TechCrunch: „Researchers used Anthropic’s Claude to hack into OpenAI“, Aditya Mehta und Rebecca Bellan, 18. September 2026. https://techcrunch.com/2026/09/18/researchers-used-anthropics-claude-to-hack-into-openai/
2. Hacktron AI: „Hacking OpenAI – A heap overflow and SSO misconfiguration to compromise OpenAI internal repositories“, Harsh Jaiswal, Mohan Pedhapati und Rahul Maini, 13. September 2026. https://www.hacktron.ai/blog/hacking-openai
3. The Decoder: „Security researchers used Anthropic’s Claude to hack OpenAI’s internal systems in under 72 hours“, Matthias Bastian, 18. September 2026. https://the-decoder.com/security-researchers-used-anthropics-claude-to-hack-openais-internal-systems-in-under-72-hours/
4. Quartz: „Hackers used Claude to break into OpenAI’s internal code repo“, 18. September 2026. https://qz.com/hacktron-claude-openai-hack-internal-repository-091826
5. TechRadar: „White hat hackers just breached OpenAI using Anthropic’s Claude in less than 72 hours“, Benedict Collins, 18. September 2026. https://www.techradar.com/pro/security/white-hat-hackers-just-breached-openai-using-anthropics-claude-in-less-than-72-hours-and-it-is-a-case-study-in-just-how-fast-ai-is-advancing
6. CryptoSlate: „Anthropic’s Claude helped 3 researchers breach OpenAI in under 72 hours“, Oluwapelumi Adejumo, 19. September 2026. https://cryptoslate.com/anthropics-claude-helped-3-researchers-breach-openai-in-under-72-hours/
7. Yahoo Tech / PCMag: „Security Researchers Hacked OpenAI Using Anthropic’s Claude“, 18. September 2026. https://tech.yahoo.com/cybersecurity/articles/security-researchers-hacked-openai-using-175912066.html