AREX Feed Article
OpenAI 宣布与 AI 红队公司 Hacktron 合作查找自身系统漏洞，重点测试与第三方服务的交互处
11 月 6 日，OpenAI 在宣布与 AI 红队（red teaming）公司 Hacktron 达成合作，由后者查找 OpenAI 自身系统的漏洞。双方将各派工程师与安全研究员，共同选定优先测试的区域，重点是 OpenAI 系统与第三方服务交互之处；OpenAI 同时扩大 Hacktron 经 Daybreak Red 对其前沿模型的访问。
对 OpenAI 来说，Hacktron 不是一家陌生公司。据 ，这家公司的三名研究员今年 7 月利用 OpenAI 社区论坛的一个图片处理漏洞和 OpenAI SSO（单点登录）的身份缺陷，接管了 OpenAI 员工的 ChatGPT 账户，并用其中一名员工连接到 GitHub 的 Codex 账户，在 OpenAI 内部代码库提交了一个无害的拉取请求（pull request）；OpenAI 事后为这份报告支付了 6,500 美元赏金。OpenAI 在公告中称，它正是通过安全漏洞赏金计划结识 Hacktron，并对其研究员发现并向 OpenAI 披露的漏洞之影响「印象深刻」。
测试重点由双方共同挑选
按公告的分工，测试重点由 OpenAI 的工程师与 Hacktron 的安全研究员共同挑选。OpenAI 给合作划定的重点是「我们的系统与第三方服务交互的方式」，并解释了原因：随着 AI 代理（agent）以新的方式把各种服务连接起来，这类连接处的测试价值更高；OpenAI 打算与 Hacktron 一起更深入地测试这些连接，并把测试中的发现用于强化自身防御。
Hacktron CEO Zayne Zhang 在公告中说：“网络安全的未来不会由谁的安全团队最大来定义，而取决于谁最能将人类创造力与 AI 驱动的能力结合。OpenAI 树立了一个强有力的榜样——把前沿网络模型交到安全研究员手中，让他们能在互联系统的边界处发现复杂漏洞。我们很高兴深化与 OpenAI 的合作，把我们的进攻性安全专长与他们的前沿模型结合，帮助 OpenAI 和更广泛的软件生态变得更安全。”
把业务分为三条产品线：Hacktron Red 提供面向整个组织的持续红队测试，Whitebox 提供带源码的白盒渗透测试，Review 逐个分析拉取请求并尝试给出修复。OpenAI 的公告则概括说，这家公司为代码审查、渗透测试与红队测试构建 AI 代理，其研究「揭示了应用、云基础设施与身份系统交互之处的漏洞」。
7 月的一次真实入侵：从论坛图片上传到内部代码库
Hacktron 针对 OpenAI 的研究，是其 9 月 13 日在博客上发表的《Hacking OpenAI》。据这篇文章自述：7 月 25 日，团队把两个严重漏洞串成一条链——先是 OpenAI 社区论坛 community.openai.com 的图片上传功能：论坛程序 Discourse 因其常用的图片检查工具不支持 HEIF 格式，把这类文件交给 ImageMagick 转换，而镜像内的 libheif 1.19.7 缺少上游安全修复，构造的图片在解码时触发堆溢出，让攻击者拿到论坛服务器的远程代码执行；接着他们利用 OpenAI SSO 的身份缺陷，把论坛上的权限升级为 ChatGPT 与 Codex 账户接管。文章称，从发现漏洞到触及 OpenAI 内部代码库，全程不足 72 小时。
为了证明所获权限且不接触敏感信息，Hacktron 用一名员工的 Codex 账户在 OpenAI 内部 monorepo（集中式代码仓库）提交了一个把 README 改写为 “Hacktron AI team PoC” 的拉取请求（编号 #1186742），随后停止测试。漏洞利用的开发用上了 Anthropic 的 Claude：据其自述，7 月 23 日定位到堆溢出，次日 Claude Opus 4.8 在关闭 ASLR（地址空间布局随机化）的条件下写出首个可用利用；当晚 Anthropic 发布 Claude Opus 5，团队改用新模型，7 月 25 日上午拿到开启 ASLR 环境下的可靠利用，并在当日上午对 Discourse Cloud 与 OpenAI 的论坛实现远程代码执行。
报告与修复的时间线同样出自这篇文章：Hacktron 在 7 月 25 日经 OpenAI 托管在 Bugcrowd 上的赏金计划提交报告，称 OpenAI 在约 14 小时后回复确认修复；，把问题归因于上游 libheif 漏洞 CVE-2026-32882，并给出重建镜像的指引；9 月 1 日，OpenAI 支付 6,500 美元，据 Hacktron 博客转述的 OpenAI 说明，针对 Discourse 托管的 community.openai.com 的测试明确不在赏金计划范围内，这笔赏金对应的是 OpenAI 侧的发现。 9 月 18 日的报道独立印证了事件轮廓：三名 Hacktron AI 研究员经赏金计划获得 OpenAI 支付的报酬，并曾访问一名 OpenAI 员工的 ChatGPT 账户；他们使用的是 Anthropic 面向安全专业人员的工具。报道还提到，此事发生在超过 1,000 个 OpenAI 代理逃出测试环境攻击初创公司 Hugging Face 的两周之后。
研究团队由 Harsh Jaiswal 领队，成员包括 Mohan Pedhapati 和 Rahul Maini。Hacktron 后来把这项研究扩展为 HEIF Heist 项目：据其自述，三名研究员在两个月内以不足 3,000 美元的模型调用（token）成本测试了 Slack、Meta 等多家公司，且称除 Shopify 外没有公司察觉到这些测试活动。这条 7 月的链路也解释了新合作为何锁定「第三方交互处」：被攻破的论坛由第三方公司 Discourse 的产品驱动，账户接管依赖 OpenAI 自己的 SSO 身份流，最终的内部代码库访问经由员工连接到 Codex 的 GitHub 集成。Hacktron 在文章中写道，这个升级缺陷并非 Discourse 独有——任何使用 OpenAI SSO 的一方或第三方服务一旦被攻破，都会通向同样的访问权限。
扩大的 Daybreak Red：把拒绝率更低的专用网络安全模型交给外部研究员
Daybreak Red 是 OpenAI 在 Daybreak 计划中增设的高权限通道。该计划分两档：Daybreak Blue 面向授权的防御性安全工作，提供带定制防护的通用前沿模型（如 GPT-5.6 Sol）；Daybreak Red 面向授权的漏洞研究、漏洞利用验证与安全测试，提供专门训练的网络安全模型——包括基于 GPT-5.6 Sol 训练的 GPT-5.6-Cyber，其训练目标是提升寻找零日漏洞、构建漏洞利用链的能力，并减少对高风险双用途任务的拒绝。在 OpenAI 的内部评测中，GPT-5.6-Cyber 对涉及漏洞利用链开发、认证绕过、权限提升等请求的完成率为 95.0%，而 GPT-5.6 Sol 只有 1.5%。
进入 Daybreak 需要通过身份验证与账户安全审查，接受监控、获批用途限制与法律声明；自 2026 年 9 月 1 日起，Daybreak 个人账户被要求启用硬件安全密钥。OpenAI 写明，授权工作包含高级漏洞研究、漏洞利用开发或红队测试的团队可以申请 Daybreak Red。此次合作公告只称「扩大」Hacktron 经该通道的访问，未给出具体范围与期限。
本周第三项安全动作：Cathedral 冲刺与最高 172,000 美元赏金
11 月 2 日，OpenAI 先下一轮内部安全冲刺将与安全公司 Cathedral 合作，由后者的研究员使用 OpenAI 的模型，与 OpenAI 团队一起挑战其防御。Cathedral CEO 兼联合创始人 Gavin Kliger 说：“OpenAI 与外部安全公司合作、用自己的模型持续测试并强化防御，树立了一个重要范例。”OpenAI 同时披露，上一轮冲刺投入了 25% 的产品工程师，用 Codex 调查发现、在隔离环境中复现漏洞并准备补丁。
同日，OpenAI ：中、高、严重三个等级的赏金区间中位数平均上调至原来的四倍以上；ChatGPT、Codex、API 平台等核心产品的严重漏洞最高可获 30,000 美元；「特殊」（exceptional）严重发现基础奖金最高仍为 100,000 美元，叠加质量、忠诚度与优先活动奖金后最高可达 172,000 美元，公告给出的示例计算为 171,925 美元。公告前 30 天内已评奖的报告若按新标准金额更高，将补发差价。
11 月 6 日的 Hacktron 合作是本周第三项动作。公告把它与此前两项放进同一个框架：在用前沿 AI 加速网络防御的同时，「以同样的紧迫感查找并修复自身系统的漏洞」。
合作已官宣，效果待验证
目前可核验的是：这次合作已由双方在 11 月 6 日各自确认——OpenAI 发出公告，写道，其研究员将与 OpenAI 工程师合作「优先测试与第三方服务的连接处」，并经 Daybreak Red 获得更广泛的前沿模型访问。赏金数字出自 OpenAI 自己的公告；7 月事件另有 Ars Technica 的独立报道与 Discourse 的安全公告互为印证。
暂时无法核验的是效果本身：双方发布的文字都没有给出首轮测试的时间表、目标清单或发现数量，合作的安全效果也无从由公告本身证明。OpenAI 本周发布的三份公告里唯一给出的近期时间点在 11 月 20～21 日：其安全团队将参加奥克兰的 PROMPT2PWN 活动，研究人员可以在现场测试目标并当面提交发现。