Η OpenAI συνεργάζεται με τη Hacktron για να δοκιμάσει τις διασυνδέσεις με υπηρεσίες τρίτων

Στις 6 Νοεμβρίου 2026, η OpenAI ανακοίνωσε συνεργασία με τη Hacktron για τον εντοπισμό ευπαθειών στα συστήματά της, εστιάζοντας στις διασυνδέσεις με υπηρεσίες τρίτων και διευρύνοντας την πρόσβαση της εταιρείας κυβερνοασφάλειας σε μοντέλα αιχμής μέσω του Daybreak Red.

Μηχανικοί της OpenAI και ερευνητές κυβερνοασφάλειας της Hacktron θα επιλέξουν από κοινού τους τομείς υψηλής προτεραιότητας που θα δοκιμαστούν. Η εργασία θα εξετάσει τον τρόπο με τον οποίο αλληλεπιδρούν τα συστήματα καθώς οι πράκτορες τεχνητής νοημοσύνης συνδέουν υπηρεσίες με νέους τρόπους, ενώ τα διδάγματα που θα προκύψουν θα αξιοποιηθούν για την ενίσχυση της άμυνας της OpenAI. Έτσι, η συνεργασία αποκτά συγκεκριμένο στόχο: τις αδυναμίες που προκύπτουν όταν διασυνδέονται εφαρμογές, συστήματα ταυτοποίησης και υποδομές.

Επέκταση της συνεργασίας μέσω προγράμματος επιβράβευσης για την ανακάλυψη σφαλμάτων

Η OpenAI γνώρισε τη Hacktron μέσω του προγράμματος επιβράβευσης για την ανακάλυψη κενών ασφαλείας και δήλωσε ότι εντυπωσιάστηκε από τη σημασία των ευπαθειών που εντόπισαν και γνωστοποίησαν οι ερευνητές της εταιρείας. Η Hacktron αναπτύσσει πράκτορες τεχνητής νοημοσύνης για επιθεώρηση κώδικα, δοκιμές διείσδυσης και ασκήσεις προσομοίωσης επιθέσεων, ενώ οι έρευνές της έχουν αποκαλύψει ευπάθειες στις αλληλεπιδράσεις μεταξύ εφαρμογών, υποδομών νέφους και συστημάτων ταυτοποίησης. Αυτές οι δυνατότητες συνάδουν άμεσα με τη νέα εστίαση των δοκιμών.

Η αναφορά της Hacktron στις 13 Σεπτεμβρίου 2026 δίνει ένα συγκεκριμένο παράδειγμα. Οι ερευνητές της δήλωσαν ότι στις 25 Ιουλίου 2026 συνδύασαν δύο κρίσιμες ευπάθειες, παραβιάζοντας τους λογαριασμούς ChatGPT πολλών εργαζομένων της OpenAI και αποκτώντας δυνητικά πρόσβαση σε εσωτερικά αποθετήρια και άλλες συνδεδεμένες υπηρεσίες. Η αλυσίδα επιθέσεων συνδύαζε την απομακρυσμένη εκτέλεση κώδικα στη διαδρομή επεξεργασίας εικόνων του φόρουμ κοινότητας που φιλοξενείται στο Discourse με ένα πρόβλημα στον μηχανισμό ενιαίας σύνδεσης της OpenAI, επιτρέποντας στην παραβίαση του φόρουμ να επεκταθεί στο ChatGPT και το Codex και, στη συνέχεια, σε μια συνδεδεμένη ενσωμάτωση του GitHub.

Για να αποδείξει ότι είχε αποκτήσει πρόσβαση χωρίς να διαβάσει ευαίσθητο εσωτερικό κώδικα, η Hacktron χρησιμοποίησε τον λογαριασμό Codex ενός εργαζομένου για να δημιουργήσει ένα ακίνδυνο αίτημα ενσωμάτωσης αλλαγών στο εσωτερικό μονοαποθετήριο της OpenAI και στη συνέχεια σταμάτησε τις δοκιμές. Ανέφερε τα προβλήματα μέσω του προγράμματος Bugcrowd της OpenAI και στο Discourse. Σύμφωνα με το χρονολόγιο της Hacktron, η OpenAI επιβεβαίωσε ότι είχε διορθώσει το πρόβλημα περίπου 14 ώρες μετά την αρχική αναφορά, ενώ το Discourse είχε έτοιμη μια διόρθωση δύο ημέρες αφότου έλαβε την αναφορά.

Σύμφωνα με το χρονολόγιο που αναπαρήγαγε η Hacktron, η OpenAI κατέβαλε στην Hacktron αμοιβή 6.500 δολαρίων την 1η Σεπτεμβρίου 2026, διευκρινίζοντας ότι η αμοιβή αφορούσε το εύρημα που σχετιζόταν με την OpenAI και όχι τις δοκιμές στο φόρουμ που φιλοξενείται στο Discourse και είχε εξαιρεθεί ρητά από το πεδίο των επιτρεπόμενων δοκιμών.

Πρόσβαση και έλεγχοι στο Daybreak Red

Η ανακοίνωση της OpenAI για το Daybreak στις 10 Αυγούστου 2026 ορίζει ότι το Red παρέχει πρόσβαση σε ειδικά εκπαιδευμένα μοντέλα κυβερνοασφάλειας για εξουσιοδοτημένη έρευνα ευπαθειών, επικύρωση εκμεταλλεύσεων και δοκιμές ασφάλειας, ενώ συνιστά το Blue ως αφετηρία για τους περισσότερους επαγγελματίες της άμυνας στον κυβερνοχώρο. Το Blue παρέχει μοντέλα γενικής χρήσης αιχμής με δικλίδες ασφαλείας προσαρμοσμένες στην εξουσιοδοτημένη αμυντική εργασία. Ομάδες των οποίων η εξουσιοδοτημένη εργασία περιλαμβάνει προηγμένη έρευνα ευπαθειών, ανάπτυξη εκμεταλλεύσεων ή ασκήσεις προσομοίωσης επιθέσεων μπορούν να ζητήσουν πρόσβαση στο Red.

Η πρόσβαση και στις δύο βαθμίδες περιορίζεται σε εγκεκριμένα άτομα και οργανισμούς που εκτελούν εξουσιοδοτημένες εργασίες. Οι έλεγχοι περιλαμβάνουν επαλήθευση ταυτότητας, ασφάλεια λογαριασμού, παρακολούθηση, περιορισμούς ως προς τις εγκεκριμένες χρήσεις και νομικές βεβαιώσεις. Οι βέλτιστες πρακτικές που έχει καταγράψει η OpenAI προβλέπουν επίσης την απομόνωση των ροών εργασίας κυβερνοασφάλειας από ευαίσθητα συστήματα παραγωγής και το ανοιχτό διαδίκτυο, τον έλεγχο των ενεργειών των πρακτόρων εκτός του περιβάλλοντος απομόνωσης του Codex πριν από την εκτέλεσή τους, την προσθήκη ανθρώπινης εποπτείας στις ροές εργασίας υψηλότερου κινδύνου και τη χρήση προφίλ δικαιωμάτων περιορισμένης εμβέλειας για την επιβολή των εξουσιοδοτημένων ορίων.

Η παλαιότερη αναφορά της Hacktron αναφέρει επίσης ότι η εργασία δεν ήταν πλήρως αυτόνομη και ότι η καθοδήγηση από εξειδικευμένους ανθρώπους παρέμενε σημαντική. Επομένως, η αμυντική αξία της συνεργασίας βασίζεται σε μια ισορροπία: διευρυμένη πρόσβαση σε μοντέλα με δυνατότητες κυβερνοασφάλειας για πιο διεξοδικές δοκιμές διασυνδεδεμένων υπηρεσιών, με αντίστοιχα εφαρμόσιμα όρια, παρακολούθηση και ανθρώπινη εποπτεία κατά τη χρήση των πρακτόρων.