Onderzoekers gebruikten Claude om OpenAI te hacken

TL;DR

• Wat: Drie beveiligingsonderzoekers gebruikten Anthropics Claude om binnen 72 uur in te breken in OpenAI's systemen — inclusief toegang tot medewerkeraccounts en interne code.
• Waarom relevant: AI-tools verlagen de drempel voor cyberaanvallen drastisch, ook tegen jouw bedrijf.
• Wat je ermee kunt: Controleer of jouw bedrijfssoftware (forums, portals, CMS) up-to-date is en of je SSO-configuratie geen onbedoelde toegang toelaat.

Dit bericht trok vandaag mijn aandacht: een team van drie beveiligingsonderzoekers — van de Indiase startup Hacktron AI — heeft met behulp van Anthropics AI-model Claude ingebroken in OpenAI's systemen. Niet als criminele actie, maar als onderdeel van OpenAI's eigen bug-bounty-programma. Wat mij hier opvalt is niet zozeer dát het kan, maar hoe weinig het kostte en hoe snel het ging.

Wat is er precies gebeurd?

Het drietal — onder leiding van CTO Mohan Pedhapati — richtte zich op OpenAI's communityforum, dat draait op Discourse. Dat is een veelgebruikt open-source forumplatform. Het startpunt was een kwetsbaarheid in libheif, een softwarebibliotheek die Apple's HEIF/HEIC-beeldformaten verwerkt. Als je een speciaal geprepareerd afbeeldingsbestand uploadde naar het forum, kon je via een geheugenfout in die bibliotheek toegang krijgen tot de server.

Vanaf dat punt escaleerde de aanval verder. OpenAI's single sign-on (SSO) — het systeem waarmee medewerkers met één login bij meerdere diensten kunnen — accepteerde externe logins zonder extra verificatie. Daardoor konden de onderzoekers medewerkeraccounts van ChatGPT en Codex overnemen en uiteindelijk toegang krijgen tot OpenAI's privé GitHub-repository met interne code.

Het hele traject duurde minder dan 72 uur. De onderzoekers gaven minder dan 3.000 dollar uit aan AI-tokens.

De rol van Claude

Wat dit verhaal bijzonder maakt, is de manier waarop Claude werd ingezet. De onderzoekers lieten het AI-model in een autonome lus draaien — Claude analyseerde de kwetsbaarheden, identificeerde ontbrekende beveiligingspatches en ontwikkelde stap voor stap een werkende exploit. Pedhapati werd geciteerd met de woorden: "We're just three guys with Claude and Codex subscriptions."

Een interessant detail: het team begon met een eerdere versie van Claude (Opus 4.8), die er na meerdere sessies niet in slaagde om een werkende exploit te produceren. Toen Anthropic tijdens het onderzoek Opus 5 uitbracht, lukte het die nieuwe versie binnen enkele uren.

Ik vind het eerlijk gezegd fascinerend hoe concreet het verschil tussen modelversies hier zichtbaar wordt. Het is niet een abstract benchmarkresultaat op een scorelijst — het is het verschil tussen "lukt niet" en "binnen een paar uur gelukt".

Waarom dit relevant is voor ondernemers

Je hoeft geen techbedrijf te zijn om je hier iets bij voor te stellen. De kernles is dat AI de drempel voor cyberaanvallen flink verlaagt. Beveiligingsexpert Matt Fredrikson merkte op dat iemand voor 200 dollar per maand met deze tools een bedrijf als OpenAI kan aanvallen.

Kun je je voorstellen wat dat betekent als je als MKB-ondernemer een webshop, klantenportaal of forum draait op standaardsoftware? Veel van die platforms gebruiken dezelfde soort bibliotheken en componenten als het Discourse-forum waar deze aanval begon. Het gaat niet om science fiction — het gaat om een HEIC-afbeelding die iemand uploadt via je contactformulier of supportpagina.

Een paar concrete dingen om over na te denken:

Software-updates

De kwetsbaarheid in libheif was een bekende geheugenfout. Discourse had op 27 juli — twee dagen na de exploit — al een patch uitgebracht. Dat betekent dat het verschil tussen "kwetsbaar" en "veilig" vaak neerkomt op het tijdig installeren van updates. Gebruik je WordPress, Discourse, of een ander platform? Vraag je IT-partner wanneer de laatste update is gedraaid.

SSO-configuratie

De tweede schakel in de aanvalsketen was dat OpenAI's single sign-on externe logins accepteerde zonder extra verificatie. Als jouw bedrijf SSO gebruikt — en steeds meer bedrijven doen dat — is het de moeite waard om te controleren of er extra stappen nodig zijn om in te loggen, zoals tweestapsverificatie (2FA) voor alle medewerkers.

Beeldverwerking als aanvalsvector

Dit is iets waar ik zelf niet direct aan zou denken: de aanval begon via het uploaden van een afbeelding. Elke website die beeldbestanden accepteert — denk aan een vacatureformulier met CV-upload, een klachtenpagina met foto-optie, of een intern portaal — verwerkt die bestanden met softwarebibliotheken die kwetsbaarheden kunnen bevatten.

De bounty: 6.500 dollar

OpenAI heeft de kwetsbaarheden verholpen en het team een beloning van 6.500 dollar toegekend via het bug-bounty-programma. De onderzoekers demonstreerden hun toegang door een pull request te openen in OpenAI's privé-repository — een soort bewijs dat ze echt binnen waren — en meldden vervolgens alles netjes.

Wat mij betreft is 6.500 dollar opvallend weinig voor toegang tot interne code en medewerkeraccounts van een bedrijf met een waardering van tientallen miljarden. Maar zo werken bug-bounty-programma's nu eenmaal: de beloningen zijn vastgesteld in categorieën, ongeacht de marktwaarde van het bedrijf.

OpenAI heeft volgens berichtgeving aangekondigd nieuwe frameworks te implementeren voor het bijhouden van dit soort incidenten, met plannen om ernstige gevallen te delen met de Amerikaanse overheid.

Wat dit signaleert

Dit verhaal raakt aan een breder patroon dat ik de afgelopen maanden steeds vaker zie: AI-modellen worden niet alleen ingezet om teksten te schrijven of klantvragen te beantwoorden, maar ook om actief kwetsbaarheden te vinden en te exploiteren. Dat is niet per definitie slecht — in dit geval leidde het tot een veiliger product. Maar hetzelfde gereedschap is beschikbaar voor iedereen met een abonnement.

Voor mij is dit vooral een signaal dat cybersecurity niet meer iets is dat je uitsluitend aan grote bedrijven kunt overlaten. De tools die aanvallers gebruiken worden slimmer en goedkoper. De verdediging — updates installeren, SSO goed configureren, uploadvelden beveiligen — is vaak niet ingewikkeld. Maar je moet het wel doen.