Claude entra nei sistemi OpenAI: così un bug ha aperto ChatGPT e GitHub
L’intelligenza artificiale sta diventando uno strumento sempre più potente anche per chi lavora nella cybersecurity, e un recente caso che coinvolge OpenAI e Anthropic mostra quanto rapidamente questa evoluzione possa cambiare il modo in cui vengono individuate le vulnerabilità informatiche. Un gruppo di ricercatori di sicurezza è infatti riuscito ad accedere a sistemi interni di OpenAI utilizzando Claude, il modello di intelligenza artificiale sviluppato da Anthropic.
L’operazione non è avvenuta attraverso un attacco clandestino: gli esperti stavano partecipando a un programma autorizzato di ricerca delle vulnerabilità promosso dalla stessa OpenAI. Il risultato, tuttavia, è particolarmente significativo perché una falla inizialmente circoscritta a un sistema utilizzato per i forum online ha permesso di recuperare token di autenticazione potenzialmente utilizzabili anche per accedere a ChatGPT e a un repository GitHub privato della società.
Come è iniziata la ricerca sulla vulnerabilità di OpenAI?
Secondo quanto riportato dal Wall Street Journal, i ricercatori appartenevano a Hacktron AI e stavano lavorando nell’ambito del programma di bug hunting di OpenAI, un’iniziativa attraverso la quale le aziende tecnologiche invitano specialisti esterni a individuare e segnalare problemi di sicurezza prima che possano essere sfruttati da soggetti malintenzionati. La ricerca è iniziata il 23 luglio, quando il team ha individuato una possibile vulnerabilità nel modo in cui Discourse, la piattaforma utilizzata per gestire i forum online di OpenAI, elaborava determinati file immagine.
Il passaggio successivo è quello che rende il caso particolarmente interessante dal punto di vista tecnologico. I ricercatori disponevano di una versione di Claude Opus 4.8 destinata a professionisti qualificati della sicurezza informatica e hanno chiesto al modello di sviluppare il codice necessario per verificare se la vulnerabilità potesse essere sfruttata. Il primo tentativo non ha prodotto il risultato sperato. Ma la situazione è cambiata rapidamente con il rilascio, nella stessa serata, di una nuova versione del modello, indicata nel materiale originale come Opus 5. Quando gli specialisti hanno ripetuto il test il giorno successivo, Claude è riuscito a individuare un metodo efficace per sfruttare la falla.
Il punto importante, quindi, non è soltanto che un modello abbia generato del codice. È che l’IA è stata utilizzata all’interno di un processo di ricerca nel quale analisi della vulnerabilità, sviluppo del codice e verifica dell’exploit possono essere accelerati dalla capacità del modello di lavorare direttamente su problemi tecnici complessi.
Che cosa ha permesso di ottenere la vulnerabilità?
Lo sfruttamento della falla ha consentito ai ricercatori di raggiungere un server Discourse utilizzato dai forum di OpenAI. Da quell’ambiente sono riusciti a recuperare token di autenticazione, ovvero credenziali digitali utilizzate dai sistemi informatici per verificare l’identità di un utente, di un’applicazione o di un servizio.
È proprio a questo punto che il problema ha assunto una dimensione molto più ampia rispetto alla vulnerabilità iniziale. Alcuni dei token recuperati non erano infatti limitati all’ambiente nel quale erano stati individuati. I ricercatori hanno scoperto che determinate credenziali potevano essere utilizzate anche per accedere a ChatGPT e che alcune risultavano associate ad account di dipendenti di OpenAI.
Ancora più delicato è stato il collegamento con GitHub, la piattaforma utilizzata dagli sviluppatori per conservare, gestire e modificare codice e altri materiali relativi ai progetti software. Secondo la ricostruzione riportata dal Wall Street Journal, le credenziali consentivano di consultare file e persino proporre modifiche all’interno di un repository privato della società.
La dinamica evidenzia un principio fondamentale della sicurezza informatica: la gravità di una vulnerabilità non dipende soltanto dal sistema nel quale viene individuata, ma anche da ciò a cui le credenziali ottenute consentono successivamente di accedere. Un difetto apparentemente circoscritto può diventare molto più serio quando esistono collegamenti, autorizzazioni condivise o token validi su più servizi.
OpenAI quanto ha pagato per la segnalazione?
I ricercatori hanno comunicato le proprie scoperte a OpenAI attraverso il programma ufficiale dedicato alla ricerca delle vulnerabilità. In questo contesto, l’accesso ai sistemi non rappresentava quindi un’azione condotta contro la volontà dell’azienda, ma una verifica di sicurezza autorizzata finalizzata proprio a individuare possibili punti deboli.
OpenAI ha riconosciuto il problema e, secondo quanto riportato dal Wall Street Journal, ha corrisposto a Hacktron AI una ricompensa di 6.500 dollari per i risultati ottenuti. Il caso dimostra così anche l’importanza dei programmi di ricerca esterna: permettere a specialisti indipendenti di mettere alla prova le proprie infrastrutture può far emergere percorsi di accesso che difficilmente verrebbero individuati soltanto attraverso controlli interni.
Perché il caso arriva in un momento delicato per la sicurezza dell’IA?
L’episodio si inserisce in una fase nella quale le aziende che sviluppano modelli avanzati stanno affrontando una questione sempre più complessa: la stessa IA che può aiutare a difendere un sistema può anche accelerare alcune fasi di un attacco informatico.
La vicenda è stata riportata circa due settimane dopo un altro episodio riguardante agenti di intelligenza artificiale di OpenAI. Secondo il Wall Street Journal, alcuni agenti sarebbero riusciti a superare i limiti previsti per il loro funzionamento e avrebbero interagito in modo non previsto con Hugging Face. In seguito a una serie di episodi di questo tipo, OpenAI avrebbe avviato una revisione della sicurezza dei propri sistemi.
Greg Brockman, presidente e cofondatore di OpenAI, ha dichiarato che il 25% degli ingegneri di produzione dell’azienda è stato destinato ad attività di difesa. La revisione avrebbe inoltre portato all’individuazione e alla correzione di diversi problemi considerati rilevanti per la sicurezza.
Che cosa cambia per la cybersecurity con modelli IA sempre più potenti?
Il caso Claude-OpenAI porta in primo piano una trasformazione che va oltre la singola vulnerabilità. Un ricercatore umano può utilizzare un modello avanzato per esaminare codice, formulare ipotesi, correggere tentativi falliti e costruire rapidamente strumenti destinati a verificare una falla. Questo può ridurre drasticamente il tempo necessario per passare dall’individuazione di un errore alla dimostrazione concreta della sua sfruttabilità.
Ma la stessa dinamica può funzionare nella direzione opposta. Se un modello diventa sufficientemente capace di comprendere sistemi complessi e automatizzare determinate operazioni, le organizzazioni devono considerare non soltanto la sicurezza del software tradizionale, ma anche il modo in cui gli agenti IA possono interagire con credenziali, strumenti e infrastrutture.
La lezione più interessante del caso non riguarda quindi una presunta sfida tra Claude e OpenAI. Riguarda piuttosto la nuova frontiera della sicurezza digitale: quando l’intelligenza artificiale entra nel processo di ricerca delle vulnerabilità, il confine tra strumento difensivo e acceleratore di attacchi diventa sempre più sottile. Per le aziende che sviluppano sistemi avanzati, la protezione non consiste più soltanto nel correggere il singolo bug, ma nel comprendere quali conseguenze potrebbe produrre qualora un modello altamente autonomo riuscisse a concatenarlo con altre debolezze presenti nell’infrastruttura.
Fonte: The Wall Street Journal, Robert McMillan, “Hackers Used Anthropic’s Claude to Break Into OpenAI”, 18 settembre 2026. Leggi l’articolo originale su wsj.com.