Пророчество сбылось: популярный комикс XKCD 2020 года предсказал взлом OpenAI «HEIF Heist»

Исследователи безопасности из Hacktron успешно продемонстрировали сложную цепочку эксплойтов, нацеленную на форум сообщества OpenAI, которую они назвали «HEIF Heist». Атака использовала переполнение буфера кучи в библиотеке libheif через ImageMagick для получения несанкционированного доступа к учетным записям сотрудников ChatGPT и Codex из-за ошибки в конфигурации SSO. Примечательно, что исследователи обратили внимание на комикс XKCD #2347, в котором содержалось предупреждение о том, что ImageMagick в конечном итоге приведет к серьезному сбою инфраструктуры. Команда Hacktron использовала инструменты ИИ для ускорения своих исследований, потратив менее 3000 долларов на разработку эксплойта за два месяца. OpenAI устранила уязвимость и выплатила вознаграждение в размере 6500 долларов. Инцидент подчеркивает более широкие риски безопасности, поскольку уязвимые компоненты широко используются на таких крупных платформах, как Slack, Meta и GitHub Enterprise, что вызывает призывы к усилению мер защиты в цепочках поставок программного обеспечения.