ഓപ്പൺ എഐ സിസ്റ്റം ഹാക്ക് ചെയ്ത് ഇന്ത്യൻ ഹാക്കർമാർ; ഉപയോഗിച്ചത് ആന്ത്രോപിക്കിന്റെ ക്ലോഡ് എഐ
ഓപ്പൺ എഐയുടെ സിസ്റ്റങ്ങളിലെ സുരക്ഷാപ്പഴുതുകൾ കണ്ടെത്തി കമ്പനിയുടെ സ്വകാര്യ കോഡ് ശേഖരത്തിലേക്ക് കടന്നുകയറി മൂന്ന് ഇന്ത്യൻ വംശജരായ ഗവേഷകർ. ഹാക്ക്ട്രോൺ എഐ (Hacktron AI) എന്ന സൈബർ സെക്യൂരിറ്റി സ്റ്റാർട്ടപ്പിൽനിന്നുള്ള മോഹൻ പെധാപതി, ഹർഷ ജയ്സ്വാൾ, രാഹുൽ മൈനി എന്നിവരാണ് ഇതു ചെയ്തത്. ഓപ്പൺ എഐയുടെ ബഗ് ബൗണ്ടി പ്രോഗ്രാമിന്റെ ഭാഗമായുള്ള പരീക്ഷണങ്ങളിലായിരുന്നു ഇവർ. 72 മണിക്കൂർകൊണ്ട് ഓപ്പൺ എഐയുടെ ഇന്റേണൽ സിസ്റ്റങ്ങളിൽ കയറാൻ ഇവർക്കു സാധിച്ചുവെന്ന് വാൾസ്ട്രീറ്റ് ജേണൽ റിപ്പോർട്ട് ചെയ്തു.
രസകരമായ കാര്യമെന്തെന്നാൽ, ഓപ്പൺ എഐയുടെ എതിരാളിയായ ആന്ത്രോപിക്കിന്റെ ക്ലോഡിന്റെ സഹായത്തോടെയാണ് ഇവർ ഓപ്പൺ എഐയുടെ സുരക്ഷാപ്പഴുതുകൾ മുതലെടുത്ത് സിസ്റ്റത്തിൽ നുഴഞ്ഞുകയറിയത്. ക്ലോഡിനെ കൂടാതെ ഓപ്പൺ എഐയുടെ സ്വന്തം GPT-5.6 Sol മോഡലും ഗവേഷകർ ഉപയോഗിച്ചിരുന്നു.
ഓപ്പൺ എഐയുടെ കമ്മ്യൂണിറ്റി ഫോറം പ്രവർത്തിക്കുന്ന 'ഡിസ്കോഴ്സ്' എന്ന തേഡ് പാർട്ടി സോഫ്റ്റ്വേറിൽ ചില ഇമേജ് ഫയലുകൾ പ്രോസസ് ചെയ്യുന്നതിലുള്ള പ്രശ്നങ്ങൾ ഗവേഷകർ തിരിച്ചറിഞ്ഞു. ഈ പഴുതു മുതലെടുക്കാനുള്ള എക്സ്പ്ലോയിറ്റ് കോഡ് വികസിപ്പിച്ചത് ക്ലോഡ് ഓപ്പസ് 5 എഐ മോഡൽ ഉപയോഗിച്ചാണ്. ഇതുവഴി ഗവേഷകർ ഡിസ്കോഴ്സിലേക്ക് നുഴഞ്ഞുകയറി. ഇവിടെനിന്ന് ഓപ്പൺ എഐയുടെ സിംഗിൾ സൈൻ ഓൺ (എസ്എസ്ഒ) സിസ്റ്റത്തിലേക്കുള്ള മറ്റൊരു ബഗും കണ്ടെത്തി. ഇതുവഴിയാണ് ഓപ്പൺ എഐ ജീവനക്കാരുടെ ജിപിടി, കോഡെക്സ് അക്കൗണ്ടുകളുമായി ബന്ധപ്പെട്ട ഒതന്റിക്കേഷൻ വിവരങ്ങൾ കൈക്കലാക്കിയത്.
ഈ വിവരങ്ങൾ ഉപയോഗിച്ച് ഓപ്പൺ എഐയുടെ സ്വകാര്യ ഗിറ്റ്ഹബ് പ്രൊഫൈലിലേക്ക് ഗവേഷകർ കയറി. അതിനു സാധിച്ചു എന്നതിന് തെളിവായി ഒരു ജീവനക്കാരന്റെ കൊഡെക്സ് അക്കൗണ്ടിൽനിന്ന് പ്രൈവറ്റ് കോഡ് റിപ്പോസിറ്ററിയിലേക്ക് ഒരു പുൾ റിക്വസ്റ്റ് അയക്കുകയും ചെയ്തു.
സാങ്കേതികപ്രശ്നങ്ങൾ കണ്ടെത്തുന്നവർക്ക് പാരിതോഷികം നൽകുന്ന ബഗ് ബൗണ്ടിയുടെ ഭാഗമായി ഹാക്ക് ചെയ്തതുകൊണ്ടുതന്നെ ഓപ്പൺ എഐയുടെ സോഴ്സ് കോഡുകളൊന്നും ഡൗൺലോഡ് ചെയ്യുകയോ പരിശോധിക്കുകയോ ഇവർ ചെയ്തിട്ടില്ല. വിവരമറിഞ്ഞ ഉടൻതന്നെ ഓപ്പൺ എഐ ഈ സുരക്ഷാപ്പഴുതുകൾ പരിഹരിക്കുകയും ആക്സസ് റദ്ദാക്കുകയും ചെയ്തു.
ഓപ്പൺ എഐയുടെ സുരക്ഷാപ്പഴുതുകൾ കണ്ടെത്തി റിപ്പോർട്ട് ചെയ്തതിന് ഈ ഗവേഷകരുടെ സ്റ്റാർട്ടപ്പായ ഹാക്ട്രോൺ എഐക്ക് 6,500 യു.എസ്. ഡോളർ (6.2 ലക്ഷത്തിലേറെ രൂപ) ബഗ് ബൗണ്ടിയായി പ്രതിഫലം ലഭിച്ചു. പരിശോധനകൾക്കായി എഐ ടോക്കണുകൾ ഉപയോഗിച്ചതിന് 3,000-ൽ താഴെ തുക ഇവർക്ക് ചെലവായിട്ടുണ്ട്
Content Highlights: Three Indian researchers from cybersecurity startup Hacktron AI successfully breached OpenAI's private GitHub repository using rival AI Claude and OpenAI's own model within 72 hours under the bug bounty program, earning a $6,500 reward after responsibly disclosing the flaw.