IA · 18 settembre 2026 · 4 min di lettura
Tre ricercatori, Claude e 72 ore: così OpenAI è stata violata dal modello rivale
In sintesi: Un team di tre ricercatori indipendenti della startup di cybersicurezza Hacktron AI ha utilizzato i modelli Claude di Anthropic per violare i sistemi interni di OpenAI in meno di 72 ore. Sfruttando una vulnerabilità nella gestione delle immagini sul forum di supporto Discourse, gli esperti hanno scalato i privilegi fino ad accedere agli account dei dipendenti e al repository GitHub proprietario 'Monorepo'. L'operazione etica, premiata con un bug bounty da 6.500 dollari, evidenzia come l'IA generativa commerciale stia radicalmente abbattendo i costi e i tempi necessari per scoprire falle zero-day complesse.
di Team Mocchi's
L'assalto algoritmico al cuore di OpenAI
Nelle dinamiche della corsa all'intelligenza artificiale, l'ironia tecnologica ha appena toccato il suo apice. Un gruppo di tre analisti di sicurezza della startup Hacktron AI è riuscito a penetrare nelle difese perimetrali di OpenAI utilizzando proprio il modello di punta del suo principale concorrente, Claude di Anthropic. L'intrusione, condotta nell'ambito del programma di bug bounty ufficiale del creatore di ChatGPT, ha richiesto meno di 72 ore di lavoro e una spesa inferiore ai 3.000 dollari in token API.
Come ricostruito da The Verge, i ricercatori hanno impiegato le capacità di ragionamento e analisi di codice di Claude Opus per individuare e orchestrare una complessa catena di vulnerabilità, arrivando ad accedere alle credenziali interne dei dipendenti e a lambire il cosiddetto "Monorepo", l'archivio GitHub riservato che custodisce il codice sorgente e gli algoritmi proprietari di OpenAI.
HEIF Heist: la crepa nei parser grafici di Discourse
Il punto d'ingresso non è stato un sofisticato attacco diretto ai modelli di frontiera o ai cluster di supercalcolo, bensì un classico anello debole della catena di fornitura software: Discourse, la piattaforma SaaS di terze parti su cui poggia il forum della community ufficiale di OpenAI. Battezzata dai ricercatori col nome di "HEIF Heist", l'operazione ha preso di mira i componenti a basso livello in C e C++ incaricati di decodificare i formati grafici moderni come HEIF e AVIF.
Sotto la superficie applicativa web risiedono infatti librerie storiche native come libheif, integrate spesso a cascata tramite motori grafici come ImageMagick o Sharp. Somministrando al forum file grafici appositamente alterati, il team è riuscito a causare una corruzione di memoria che ha aperto la strada all'esecuzione di codice remoto (RCE) sull'istanza cloud. L'intero exploit è stato raffinato e adattato nel giro di ventiquattr'ore grazie alla capacità di Claude di analizzare al volo i crash di memoria, identificare le versioni delle dipendenze binarie e generare il payload di exploit corrispondente.
Dal forum alla pull request sul codice interno
Una volta ottenuto il controllo dell'infrastruttura del forum, i ricercatori hanno effettuato un movimento laterale verso l'ambiente aziendale. Come evidenzia Ars Technica, il gruppo ha intercettato token di sessione e credenziali federate, assumendo il controllo dell'account ChatGPT di un dipendente OpenAI. Quell'utenza disponeva di autorizzazioni estese legate all'ambiente di sviluppo e all'assistente Codex.
Per certificare la gravità della falla senza sottrarre materiale riservato, il team si è fermato alle porte del Monorepo GitHub aziendale: ha inviato una pull request innocua ma inequivocabile sfruttando l'identità compromessa del dipendente. OpenAI ha confermato l'accaduto, ringraziato formalmente il team di Hacktron, sanato le configurazioni difettose e liquidato una ricompensa di 6.500 dollari attraverso il proprio programma di divulgazione coordinata.
L'asimmetria offensiva alla portata di tutti
La portata dell'episodio va ben oltre il perimetro di OpenAI. I ricercatori hanno rivelato che la medesima tecnica, basata sulla generazione automatizzata di exploit per librerie di decodifica grafica, è stata riadattata in appena uno o due giorni contro colossi come Meta, Slack e GitHub Enterprise, venendo intercettata in tempo reale soltanto dalle difese di Shopify.
Secondo quanto riportato da TechCrunch, esperti del settore hanno sottolineato il cambio di paradigma: strumenti che fino a ieri richiedevano settimane di lavoro da parte di team statali avanzati possono oggi essere orchestrati da piccoli nuclei indipendenti con investimenti marginali. Come ha riassunto Mohan Pedhapati, CTO di Hacktron: «Non siamo al livello degli attaccanti sponsorizzati da governi ostili; eravamo soltanto tre persone armate di un abbonamento a Claude». Se tre ricercatori etici con pochi dollari di spesa possono fare breccia in una delle realtà tech più blindate al mondo, le difese tradizionali basate sul perimetro aziendale risultano ormai obsolete.
Il punto di Mocchi's
Questa vicenda dimostra in modo plastico che la sicurezza delle applicazioni moderne non dipende soltanto dalla robustezza del proprio codice proprietario, ma dalla tenuta dell'intera filiera di software terzi e librerie di sistema. Per le aziende italiane che sviluppano o integrano piattaforme digitali, l'avvento di agenti IA capaci di scovare e concatenare falle a basso livello rende improrogabile l'adozione di controlli di isolamento a privilegio zero per ogni servizio integrato. Non basta proteggere le API core: anche un semplice forum di supporto o un microservizio di gestione media può trasformarsi nel varco attraverso cui compromettere l'intera proprietà intellettuale aziendale.