OpenAI bắt tay Hacktron sau khi bị chính nhóm này hack vào repo nội bộ

Nghe qua thì cứ như Claude, model của Anthropic, tự mình hack vào OpenAI. Cơ mà sự thật khác hẳn, vì Opus 5 chỉ giúp làm exploit cho lỗi libheif, còn đường vào repo là qua lỗi SSO, kiểu đăng nhập một lần dùng chung, rồi mượn Codex của một nhân viên OpenAI. OpenAI công bố bắt tay Hacktron ngày 06/11/2026, mình thấy hợp lý, còn giá trị thật nằm ở chỗ lỗi SSO đã được sửa triệt để tới đâu, vì OpenAI trả lời tối 25/07 UTC rằng đã sửa phía mình.

Từ một tấm ảnh HEIF tới repo nội bộ trong chưa đầy 72 giờ

Mọi chuyện bắt đầu từ một tấm ảnh tải lên forum hỗ trợ, vậy mà chưa đầy 72 giờ sau, nhóm ba người đã đứng trước cửa repo nội bộ.

Một tấm ảnh HEIF luồn qua libheif tới quyền chạy code trên forum

Harsh Jaiswal cùng Mohan Pedhapati và Rahul Maini lần theo upload ảnh HEIF trên community.openai.com, qua ImageMagick tới thư viện libheif, chuyện bắt đầu ngày 23/07/2026. Ở đó nhóm tìm ra lỗi heap overflow, tức lỗi tràn bộ nhớ đệm, mã CVE-2026-32882.

Advisory công bố ngày 28/07/2026 với CVSS 8.8, tức trên thang 10, mức nghiêm trọng cao, cơ mà bản sửa libheif không gắn nhãn bảo mật, không có số CVE, nên Debian không backport kịp, image Docker trên Debian 12 cài libheif 1.19.7 vẫn chứa lỗi. Debian phát hành DSA-6417-1 ngày 08/08/2026 cho Debian 13.

Token SSO chạm tới tài khoản ChatGPT và Codex của nhân viên

Ngày 25/07/2026, lúc 05 giờ 00 đến 06 giờ 00 UTC, nhóm đạt RCE (chạy code từ xa) và quyền admin trên Discourse. Rồi lúc 08 giờ 00 đến 10 giờ 00 UTC nhóm gửi báo cáo qua Bugcrowd.

Lỗi SSO qua auth.openai.com làm token forum chạm tới tài khoản ChatGPT và Codex của người từng đăng nhập forum, gồm nhân viên. Theo Cipher Projects, lỗi này nghiêm trọng hơn lỗi ảnh, vì forum là tài sản hỗ trợ còn SSO là identity production, tạm hiểu là một lần đăng nhập mở nhiều cửa.

PR 1186742 là bằng chứng nhóm đã chạm tới kho code chung

Nhóm dùng Codex của một nhân viên, tài khoản nối tổ chức GitHub OpenAI, để mở PR 1186742 vô hại trong monorepo openai/openai, tức kho code chung của cả công ty, lúc 13 giờ 30 đến 15 giờ 30 UTC ngày 25/07/2026, rồi dừng lại. Nhóm nói rõ không đọc code nội bộ và không lấy dữ liệu nhạy cảm, link PR đã redact, tức che mờ thông tin nhạy cảm khỏi bản công khai, theo yêu cầu OpenAI. OpenAI trả lời lúc 22:49:45 UTC, khoảng 14 giờ sau báo cáo ban đầu, xác nhận đã sửa phía mình.

6.500 USD cho lỗi SSO và câu hỏi Hacktron có đọc code hay không

Con số 6.500 USD xuất hiện nhiều, nhưng ít bài nói rõ tiền đó trả cho phần nào, nên mình đặt cả hai phía cạnh nhau.

6.500 USD trả ngày 01/09 chỉ tính lỗi SSO

OpenAI trả bounty 6.500 USD ngày 01/09/2026, làm rõ kiểm thử forum bị loại khỏi phạm vi bounty, giải thưởng chỉ ghi nhận lỗi SSO phía OpenAI. Nói OpenAI trả 6.500 USD cho cả vụ hack thì thiếu chính xác, vì phần forum vốn do Discourse host.

WSJ nói Hacktron đọc file, Hacktron nói không đọc code

WSJ đưa tin 17/09/2026 và viết nhóm đọc được file trong repo, trong khi Hacktron ngày 13/09/2026 khẳng định không đọc code nội bộ, chỉ mở PR rồi dừng. Hai tuyên bố mâu thuẫn nhau, PR đã redact nên bên ngoài không kiểm tra độc lập được.

Phạm vi đã chứng minh chỉ là mở PR qua Codex vốn đã có quyền GitHub, theo Cipher Projects. Đừng vội kết luận nhóm đã đọc bí mật thuật toán, mình nhắc anh em vậy vì mở được cửa với đọc hết đồ trong nhà là hai việc khác nhau xa.

6.500 USD là phí công bằng hay quá thấp cho lỗi identity

6.500 USD là phí chuyên môn công bằng cho 3 ngày làm việc của 3 chuyên gia, theo Foundra.ai. Phía phê bình cho rằng lỗi identity mở ra mọi connector trên tài khoản bị chiếm, nên mức giá đó mới là điều đáng bận tâm, đây vẫn là ý kiến đang tranh luận, và ngày 02/11/2026 OpenAI tăng bounty.

OpenAI bắt tay Hacktron và mở cửa Daybreak Red cho nhóm từng hack mình

Gần 4 tháng sau vụ hack, OpenAI công bố hợp tác, và điểm cần soi không phải lời khen trong thông cáo, vì thông cáo nào mà chẳng khen nhau.

Hai bên cùng chọn mục tiêu kiểm thử, trọng tâm là kết nối bên thứ ba

Hacktron là công ty làm agent AI cho code review, pentest, tức kiểm thử xâm nhập, và red team, tức đội đỏ giả lập tấn công, CEO là Zayne Zhang. OpenAI công bố hợp tác với Hacktron ngày 06/11/2026, hai bên cùng chọn mục tiêu kiểm thử, trọng tâm là kết nối dịch vụ bên thứ ba.

Zayne Zhang nói OpenAI nêu gương tốt khi đặt model cyber frontier vào tay nhà nghiên cứu. Đọc câu này, mình thấy đúng một nửa, vì an toàn hay không còn xem kiểm soát đi kèm, bài hợp tác không nêu thời hạn hay tên model.

Daybreak Red cho Hacktron quyền dùng model frontier

Daybreak mở rộng ngày 10/08/2026 thành 2 tier, tức 2 bậc, Blue gồm GPT-5.6 Sol cho phòng thủ, Red gồm GPT-5.6-Cyber cho nghiên cứu lỗ hổng và pentest. Bài hợp tác 06/11 hình như không nêu tên model Hacktron nhận, nên anh em đừng mặc định Hacktron cầm đúng GPT-5.6-Cyber nhé.

Kiểm soát gồm phê duyệt, xác minh danh tính và giám sát, cơ mà kiểm soát mạnh cũng có ma sát thật. Một người dùng Daybreak phàn nàn trên forum OpenAI ngày 30/09/2026 rằng khóa cứng YubiKey gây bất tiện khi đổi máy.

Hợp tác khác bug bounty ở chỗ kiểm thử liên tục

Bug bounty là báo cáo một lần, hợp tác 06/11 là kiểm thử liên tục. Khác biệt lớn nhất, theo mình, nằm ở chỗ hai bên cùng chọn mục tiêu.

Hồi tháng 08/2026, OpenAI dành 25% kỹ sư production, tức kỹ sư vận hành hệ thống, cho an ninh. Còn ngày 02/11/2026 OpenAI công bố kế hoạch sprint cùng Cathedral, anh em lưu ý đây là ngày công bố kế hoạch, chứ không phải ngày diễn ra sprint, và bài đó không gắn con số 25% nào.

Lỗi SSO và monorepo, điều Reuters nói nhân viên đã cảnh báo

Nếu chỉ dừng ở chuyện ba người hack được OpenAI thì mới kể được một nửa, vì phía phê bình hỏi lớn hơn, vì sao lỗi identity và monorepo tồn tại nhiều năm.

SSO chia sẻ mới là chìa khóa vạn năng

Lỗi libheif chỉ cho quyền chạy code trên forum hỗ trợ, lỗi SSO cho token forum vượt ra ngoài forum, chạm tới tài khoản ChatGPT và Codex. Từ đó Codex của nhân viên thành cầu nối vào repo nội bộ, giống như mượn chùm chìa khóa phụ để sẵn trong ngăn kéo, tới khi thu hồi ở nhà cung cấp mới hết hiệu lực.

Mọi connector là grant, tức quyền truy cập cấp sẵn, chiếm được tài khoản là chiếm cả chùm grant đó. Cứ tưởng tượng như đưa thẻ thang máy quẹt được mọi tầng cho khách, kể cả tầng khóa.

Nhân viên đã cảnh báo về kho code chung từ trước khi ChatGPT ra mắt

5 người am hiểu nói với Reuters ngày 03/11/2026 rằng nhân viên OpenAI đã cảnh báo lãnh đạo trước khi ChatGPT ra mắt: OpenAI giữ phần lớn code trong một monorepo, ai có quyền truy cập cũng xem được dự án ngoài việc của mình. Đây là lời kể của nguồn ẩn danh, chưa phải tài liệu nội bộ công khai.

OpenAI phản hồi công việc nhạy cảm nằm trong repo riêng, monorepo không chứa toàn bộ code hay model weights. CryptoBriefing phản biện phản hồi chưa trọn vẹn, vì nhân viên lo quyền truy cập rộng, không chỉ dự án bí mật nhất.

Cựu nhà nghiên cứu DePue nói tốc độ hơn an ninh, phát ngôn viên Widmann nói ngược lại

Will DePue, cựu nhà nghiên cứu OpenAI, viết trên X rằng lãnh đạo AI không thể hy sinh tốc độ vì an ninh. Đây là ý kiến cá nhân. Phát ngôn viên Elana Widmann nói với Reuters rằng bảo vệ công nghệ, dữ liệu và con người là trách nhiệm công ty coi trọng.

Claude Opus 5 giúp làm exploit trong vài giờ, nhưng AI không tự hack

Cái tên Claude xuất hiện ở mọi tít báo tháng 09, và chính vì vậy hiểu lầm AI tự hack OpenAI lan nhanh nhất. Chi tiết trong bài của Hacktron thì khác hẳn, con người dẫn dắt từng bước, AI chỉ làm phần việc nặng nhanh hơn.

Opus 4.8 chật vật với ASLR, Opus 5 giải được trong 3 giờ

Opus 4.8 tìm ra lỗi libheif và làm exploit một phần nhưng chật vật khi bật ASLR, cơ chế xáo trộn vị trí bộ nhớ để exploit khó đoán địa chỉ. Opus 5 ra mắt tối 24/07/2026, trong vài giờ nó thành công, tạo exploit ARM64, ngốn 3 giờ, lúc 06 giờ 00 ngày 25/07 xác nhận RCE local. Opus 5, mình nhắc lại, chỉ làm exploit cho lỗi libheif, chứ không tự đi vào repo, anh em từng vọc model local thì hiểu ngay.

Ba người Hacktron vẫn tự chọn mục tiêu và quyết định dừng lại

Toàn bộ quá trình do con người dẫn dắt, nhóm ngụy trang mục tiêu thành bài tập CTF, kiểu bài thi hack giả lập, vì Opus từ chối viết exploit cho host remote, rồi dừng lại lúc 15 giờ 30 UTC. Podcast The Blast Radius nhắc đừng đọc thành AI tự hack OpenAI. Trên Hacker News cũng có người hoài nghi động cơ marketing của Hacktron, nhưng đó chỉ là giả thuyết chưa có bằng chứng.

Chưa tới 3.000 USD token cho cả chiến dịch HEIF Heist

Dự án HEIF Heist kéo dài 2 tháng, nhắm Slack, Meta, GitHub Enterprise, chưa tới 3.000 USD token. Đây là chi phí cả chiến dịch, không phải chi phí hack riêng OpenAI.

Chỉ Harsh Jaiswal có 10 năm kinh nghiệm trở lên, theo Firstpost, nên anh em đừng gán con số này cho cả ba người. Matt Fredrikson, CEO Gray Swan, nói với TechCrunch rằng với 200 USD một tháng bất kỳ ai cũng dùng được các công cụ này và hack vào một công ty như OpenAI.

Mohan Pedhapati nói với WSJ nhóm không mạnh bằng các tác nhân đe dọa Trung Quốc, nên câu hỏi nếu ba người làm được thì một quốc gia làm được gì vẫn mở, và 200 USD đó, mình ghi rõ, là giá subscription chứ không phải tổng chi phí.

Kiểm kê connector và tách login trên ChatGPT và Codex

Phần còn lại thuộc về anh em dùng ChatGPT và Codex, vì lỗi trong vụ này nằm ở những kết nối anh em ít khi rà lại.

Kiểm kê connector rồi thu hẹp quyền ngay

Liệt kê connector GitHub, Slack, mail đang gắn trên tài khoản ChatGPT và Codex, anh em gỡ connector không còn dùng, thu hẹp quyền của connector còn dùng, thu hồi grant khi nghi ngờ. Chiếm được tài khoản là chiếm cả chùm grant đó.

Tách login forum khỏi login agent và vá dependency

Tách login forum khỏi login ChatGPT và Codex, anh em không dùng chung SSO cho hỗ trợ và production, rà dependency xử lý ảnh, rebuild image Docker sau khi vá. Image chưa rebuild vẫn chứa lỗi.

Vụ hack tháng 07 khép lại bằng hợp tác tháng 11

Hợp tác ngày 06/11 khép lại hồi 2 bằng thỏa thuận kiểm thử có kiểm soát, nhưng câu chuyện chỉ xong khi OpenAI sửa xong lỗi SSO và monorepo.

Vụ hack diễn ra 23 đến 25/07, bounty 6.500 USD chỉ tính lỗi SSO, còn hợp tác thì công bố 06/11 qua Daybreak Red. Ba mốc này mình kể lại vì anh em cần nhớ, để khỏi bị các bài tóm tắt gọn làm lệch câu chuyện.

Chọn nhanh, anh em chỉ dùng ChatGPT thì rà connector và tách login forum là đủ, team dùng Codex nối GitHub thì kiểm tra quyền Codex, người làm sản phẩm AI thì rà dependency và rebuild image sau bản vá. Anh em chia sẻ nhé.

Nguồn tham khảo

• Blog OpenAI: https://openai.com/index/partnering-with-hacktron
• Blog Hacktron: https://www.hacktron.ai/blog/hacking-openai
• Blog Hacktron: https://www.hacktron.ai/blog/openai-partnership
• TechCrunch: https://techcrunch.com/2026/09/18/researchers-used-anthropics-claude-to-hack-into-openai/
• The Register: https://www.theregister.com/security/2026/09/18/researchers-used-claude-to-hack-openai-employees-chatgpt-accounts/5297517
• Cipher Projects: https://www.cipherprojects.com/blog/posts/openai-sso-forum-codex-connectors-2026/
• Blog OpenAI: https://openai.com/index/preparing-our-next-security-sprint-to-harden-openai/
• BusinessWorld Reuters: https://bworldonline.com/technology/2026/11/04/791344/openai-employees-warned-about-operational-security-lapses-for-years-sources-say/
• Cộng đồng OpenAI: https://community.openai.com/t/expanding-daybreak-as-the-cyber-defense-window-narrows/1389909
• Unite.AI: https://www.unite.ai/openai-partners-with-hacktron-to-test-third-party-service-connections/
• WSJ qua Gwern: https://gwern.net/doc/www/www.wsj.com/6b5e4bb3fcb8cf3ff3a72506a635a962ddee0ad4.html
• Foundra.ai: https://www.foundra.ai/kids/learn/hacktron-openai-bug-bounty-what-teens-should-know-2026-kids-lesson
• CryptoBriefing: https://cryptobriefing.com/openai-monorepo-security-concerns-code-access/
• Firstpost: https://www.firstpost.com/explainers/3-indians-openai-hack-claude-harsh-jaiswal-mohan-pedhapati-rahul-maini-hacktron-ai-14047238.html
• The Blast Radius: https://podcast.theblastradius.io/@blastradius/episodes/the-robots-used-yours/transcript
• Hacker News: https://news.ycombinator.com