OpenAI ने तृतीय-पक्ष सेवाओं से कनेक्शन की जाँच के लिए Hacktron के साथ साझेदारी की

OpenAI ने 6 नवंबर 2026 को Hacktron के साथ साझेदारी की घोषणा की, ताकि अपनी प्रणालियों में कमजोरियों का पता लगाया जा सके। इसमें तृतीय-पक्ष सेवाओं के साथ कनेक्शनों पर खास ध्यान दिया जाएगा और Daybreak Red के ज़रिए सुरक्षा कंपनी की फ्रंटियर मॉडल्स तक पहुँच का विस्तार होगा।

OpenAI के इंजीनियर और Hacktron के सुरक्षा शोधकर्ता मिलकर जाँच के लिए उच्च प्राथमिकता वाले क्षेत्रों का चयन करेंगे। इस काम में यह परखा जाएगा कि जब एआई एजेंट सेवाओं को नए तरीकों से जोड़ते हैं, तो सिस्टम आपस में कैसे काम करते हैं। इससे मिली सीख का इस्तेमाल OpenAI की सुरक्षा को मज़बूत करने में किया जाएगा। इस तरह साझेदारी का लक्ष्य स्पष्ट है: ऐप्लिकेशन, पहचान प्रणालियों और बुनियादी ढाँचे को आपस में जोड़ने पर उभरने वाली कमजोरियों का पता लगाना।

बग बाउंटी के पुराने संबंध का विस्तार

OpenAI को अपने Security Bug Bounty कार्यक्रम के ज़रिए Hacktron के बारे में जानकारी मिली। कंपनी ने कहा कि Hacktron के शोधकर्ताओं द्वारा खोजी और उजागर की गई कमजोरियों के असर से वह प्रभावित हुई। Hacktron कोड की समीक्षा, पैठ परीक्षण और रेड टीमिंग के लिए एआई एजेंट बनाती है। उसके शोध में ऐप्लिकेशन, क्लाउड बुनियादी ढाँचे और पहचान प्रणालियों के बीच परस्पर क्रिया से जुड़ी कमजोरियाँ सामने आई हैं। ये क्षमताएँ जाँच के नए फोकस से सीधे मेल खाती हैं।

Hacktron के 13 सितंबर 2026 के विवरण में इसका एक ठोस उदाहरण मिलता है। उसके शोधकर्ताओं ने बताया कि 25 जुलाई 2026 को उन्होंने दो गंभीर कमजोरियों को जोड़कर OpenAI के कई कर्मचारियों के ChatGPT खातों से छेड़छाड़ की, जिससे आंतरिक रिपॉज़िटरी और अन्य कनेक्टेड सेवाओं तक संभावित पहुँच बन गई। इस हमले में Discourse पर होस्ट किए गए सामुदायिक फ़ोरम के इमेज-प्रोसेसिंग मार्ग में रिमोट कोड निष्पादन की कमजोरी को OpenAI की सिंगल साइन-ऑन समस्या के साथ जोड़ा गया। इससे फ़ोरम में सेंध ChatGPT और Codex तक पहुँची और फिर वहाँ से कनेक्टेड GitHub इंटीग्रेशन तक।

संवेदनशील आंतरिक कोड पढ़े बिना पहुँच दिखाने के लिए Hacktron ने एक कर्मचारी के Codex खाते से OpenAI की आंतरिक मोनोरेपो में एक अहानिकर पुल अनुरोध बनाया और फिर जाँच रोक दी। उसने इन समस्याओं की सूचना OpenAI के Bugcrowd कार्यक्रम और Discourse, दोनों को दी। Hacktron की समयरेखा के अनुसार, शुरुआती रिपोर्ट के लगभग 14 घंटे बाद OpenAI ने सुधार की पुष्टि कर दी, जबकि Discourse ने रिपोर्ट मिलने के दो दिन बाद सुधार तैयार कर लिया था।

Hacktron की प्रकाशित समयरेखा के अनुसार, OpenAI ने 1 सितंबर, 2026 को उसे 6,500 डॉलर का बाउंटी दिया। साथ ही, OpenAI ने स्पष्ट किया कि यह पुरस्कार OpenAI की ओर की खोज के लिए था, न कि Discourse पर होस्ट किए गए उस फ़ोरम की जाँच के लिए, जिसे स्पष्ट रूप से दायरे से बाहर रखा गया था।

Daybreak Red की पहुँच और नियंत्रण

OpenAI की 10 अगस्त 2026 की Daybreak घोषणा के अनुसार, Red के तहत अधिकृत कमज़ोरी-अनुसंधान, एक्सप्लॉइट सत्यापन और सुरक्षा परीक्षण के लिए विशेष रूप से प्रशिक्षित साइबर सुरक्षा मॉडल उपलब्ध कराए जाते हैं। इसमें यह भी सुझाया गया है कि अधिकांश रक्षकों के लिए Blue से शुरुआत करना बेहतर है। Blue में सामान्य प्रयोजन के फ्रंटियर मॉडल उपलब्ध हैं, जिनमें अधिकृत रक्षात्मक काम के अनुरूप सुरक्षा उपाय शामिल हैं। जिन टीमों के अधिकृत कार्य में उन्नत कमज़ोरी-अनुसंधान, एक्सप्लॉइट विकसित करना या रेड टीमिंग शामिल है, वे Red तक पहुँच का अनुरोध कर सकती हैं।

दोनों स्तरों की पहुँच केवल ऐसे स्वीकृत व्यक्तियों और संगठनों तक सीमित है, जो अधिकृत काम कर रहे हों। नियंत्रणों में पहचान की पुष्टि, खाता सुरक्षा, निगरानी, स्वीकृत उपयोग पर पाबंदियाँ और कानूनी घोषणाएँ शामिल हैं। OpenAI की दर्ज की गई सर्वोत्तम कार्य-पद्धतियों में सुरक्षा संबंधी कार्यप्रवाहों को संवेदनशील उत्पादन प्रणालियों और खुले इंटरनेट से अलग रखना; निष्पादन से पहले Codex सैंडबॉक्स के बाहर एजेंट की कार्रवाइयों की समीक्षा करना; अधिक जोखिम वाले कार्यप्रवाहों में मानवीय निगरानी जोड़ना; और अधिकृत सीमाएँ लागू करने के लिए सीमित दायरे वाली अनुमति-प्रोफ़ाइलों का उपयोग करना भी शामिल है।

Hacktron के पहले के विवरण में यह भी कहा गया है कि काम पूरी तरह स्वायत्त नहीं था और कुशल मनुष्यों का मार्गदर्शन अब भी अहम था। इसलिए इस साझेदारी का रक्षात्मक लाभ एक संतुलन पर निर्भर करता है: आपस में जुड़ी सेवाओं की अधिक गहराई से जाँच के लिए साइबर क्षमताओं वाले मॉडलों तक विस्तारित पहुँच, और एजेंटों के उपयोग के दौरान लागू किए जा सकने वाले दायरे, निगरानी तथा मानवीय देखरेख का साथ।