Onderzoekers gebruikten Claude om in te breken bij OpenAI

TL;DR

• Wat: Een drietal beveiligingsonderzoekers gebruikte Anthropic's Claude om twee kwetsbaarheden bij OpenAI aan elkaar te koppelen, waarmee ze toegang kregen tot interne medewerkeraccounts en de broncode van het bedrijf.
• Waarom relevant: Als zelfs OpenAI kwetsbaar is via een forumfoto en een inlogfout, zegt dat iets over hoe snel AI-gestuurde aanvallen complexer worden — ook voor jouw bedrijf.
• Wat je ermee kunt: Laat je eigen webapplicaties en koppelingen eens kritisch bekijken, bijvoorbeeld via een responsible-disclosurebeleid op je website.

Ik stuitte vanochtend op een bericht van TechCrunch dat me even deed stilstaan. Een team van drie beveiligingsonderzoekers — van een startup genaamd Hacktron AI — heeft met behulp van Anthropic's Claude ingebroken bij OpenAI. Niet om schade aan te richten, maar als ethische hackers, binnen het bug-bountyprogramma van OpenAI. Toch vind ik het een verhaal waar elke ondernemer iets van kan opsteken.

Wat er precies is gebeurd

Het verhaal begint op 25 juli 2026 bij een plek waar je het misschien niet verwacht: het communityforum van OpenAI. Dat forum draait op Discourse, een populair open-source forumplatform dat veel bedrijven gebruiken.

De onderzoekers ontdekten een kwetsbaarheid in de manier waarop het forum afbeeldingen verwerkt. Wanneer iemand een foto in HEIF- of HEIC-formaat uploadt — het standaardformaat van iPhones — wordt die doorgestuurd naar een bibliotheek genaamd libheif. In die bibliotheek zat een zogeheten heap buffer overflow: een fout in het geheugen waardoor een aanvaller instructies kan injecteren en de server kan overnemen.

Dat klinkt technisch, maar de kern is simpel: via een geüploade afbeelding kon je de server laten doen wat jij wilde.

Van forum naar broncode

De onderzoekers stopten daar niet. Ze ontdekten een tweede fout, dit keer in de manier waarop OpenAI single sign-on (SSO) had ingericht — het systeem waarmee je met één login toegang krijgt tot meerdere diensten. Via die SSO-fout konden ze van het gehackte forum doorklikken naar ChatGPT- en Codex-accounts van medewerkers. En via een van die Codex-accounts kwamen ze bij OpenAI's interne GitHub-repository: de plek waar de broncode van het bedrijf staat.

Als ultiem bewijs maakten ze een pull request aan in die interne codebase — een soort wijzigingsverzoek dat andere ontwikkelaars kunnen zien. Daarna stopten ze en meldden ze alles aan OpenAI.

De rol van Claude

Wat dit verhaal extra opvallend maakt, is hoe de onderzoekers hun exploit hebben gebouwd. Ze schreven de aanvalscode niet zelf. Ze gebruikten Claude, het AI-model van Anthropic.

Volgens Hacktron AI probeerden ze het eerst met een eerdere versie (Opus 4.8, een versie beschikbaar voor beveiligingsonderzoekers), maar die slaagde er niet in om een werkende exploit te produceren. Toen Anthropic kort daarna Opus 5 uitbracht, gaven ze het model dezelfde opdracht — en binnen ongeveer drie uur had het een werkend exploit gegenereerd voor de ARM64-architectuur.

Ik vind dat een opmerkelijk gegeven. Het laat zien hoe snel AI-modellen beter worden in taken die tot voor kort maanden van gespecialiseerd handwerk vergden. Het totale traject — van eerste ontdekking tot bewijs van toegang — duurde minder dan 72 uur.

Wat OpenAI heeft gedaan

OpenAI heeft de kwetsbaarheden verholpen. Een woordvoerder verklaarde dat het bedrijf de rechten op inlogtokens van het communityforum heeft ingeperkt en getroffen tokens en sessies heeft ingetrokken. Discourse heeft op 27 juli eveneens een patch uitgebracht.

Hacktron AI ontving een bug bounty van 6.500 dollar. Dat is het bedrag dat OpenAI betaalt voor het verantwoord melden van dit soort kwetsbaarheden. Ter vergelijking: de onderzoekers gaven aan dat hun Claude-abonnement zo'n 200 dollar per maand kostte.

Wat dit betekent als je een bedrijf runt

Je zou kunnen denken: dit gaat over OpenAI, een techgigant — wat heeft dit met mijn bedrijf te maken? Ik denk: meer dan je misschien verwacht.

De keten is zo sterk als de zwakste schakel

De eerste kwetsbaarheid zat niet in software die OpenAI zelf had geschreven. Het zat in libheif, een open-source bibliotheek die door talloze applicaties wordt gebruikt om iPhone-foto's te verwerken. Veel webapplicaties — ook die van Nederlandse mkb-bedrijven — gebruiken soortgelijke bibliotheken zonder dat de eigenaar dat weet. Jouw webshop, klantenportaal of helpdesk draait waarschijnlijk op tientallen van dit soort bouwblokken.

De vraag is niet óf die bouwblokken kwetsbaarheden bevatten, maar of je het merkt wanneer dat zo is.

AI maakt aanvallen goedkoper en sneller

Wat mij het meest aan het denken zet: deze aanval kostte minder dan 3.000 dollar aan AI-tokens en duurde drie dagen. Hacktron AI merkt in hun blogpost op dat AI-tools de drempel voor geavanceerde aanvallen drastisch verlagen. Werk dat voorheen maanden kostte, kan nu in dagen.

Dat is geen reden voor paniek, maar wel voor alertheid. Stel dat je als ondernemer een webapplicatie hebt met een klantenportaal — kun je je voorstellen dat iemand met een AI-tool en een paar honderd euro dezelfde soort ketenaanval probeert?

Wat je concreet kunt overwegen

Een paar dingen die ik na dit bericht relevant vind voor ondernemers:

• Responsible disclosure: overweeg een pagina op je website waar beveiligingsonderzoekers kwetsbaarheden kunnen melden. Dat kost niets en het is een uitnodiging aan de goeden om je te helpen vóórdat de kwaden het vinden.
• Updatebeleid: zorg dat de software waar je bedrijf op draait — inclusief de onderliggende bibliotheken — regelmatig wordt bijgewerkt. Vraag je webbouwer of hostingpartij hoe ze dat regelen.
• Subsidie: de Rijksoverheid heeft sinds september 2026 opnieuw subsidie beschikbaar gesteld voor cyberveiligheid in het mkb, tot 1.250 euro per bedrijf. Die regeling loopt tot 30 november 2026.

Een AI die een AI-bedrijf hackt

Er zit een zekere ironie in dit verhaal: het AI-model van het ene bedrijf wordt gebruikt om het andere AI-bedrijf te kraken. Ik denk niet dat we daar een groot filosofisch punt van moeten maken — het is uiteindelijk een tool die door vakmensen is ingezet voor een legitiem doel.

Maar het zegt wel iets over waar we staan. De modellen worden snel beter, de kosten van geavanceerde aanvallen dalen, en de verdedigingslijn verschuift. Voor mij is dit vooral een signaal dat cyberveiligheid niet iets is dat je één keer regelt en dan vergeet — het is iets dat meebeweegt met de technologie. En die technologie beweegt op dit moment behoorlijk snel.