安全研究员 72 小时攻破 OpenAI 员工账户，内部代码库被直连引发安全质疑

安全研究团队公开披露其在 72 小时内利用双重漏洞接管 OpenAI 员工账户并触及内部代码库与协作系统的渗透测试过程，凸显了头部 AI 机构在快速迭代中面临的企业内部安全与供应链防护挑战。

• 账户接管与横向扩展：研究人员利用两项安全漏洞获取员工及部分用户的 ChatGPT 与 Codex 账户控制权，进而触及与其单点登录绑定的 Outlook、Slack 及 GitHub 协同服务。
• 核心代码库验证：渗透过程中研究者通过向 OpenAI 内部代码仓库提交 Pull Request（PR）的方式完成无害化利用验证，证明了对关键代码资产的写权限访问路径。
• 攻击链路验证时效：该漏洞链条的复现与串联在 72 小时内完成，反映出凭证管理与跨应用信任链在缺乏纵深防御时易被快速突破。
• 影响/看点：该漏洞披露可能促使 AI 研发机构加速重构内部零信任架构与代码库最小权限策略，关键在于企业能否有效收紧开发者工具与企业办公通信系统间的鉴权互信。
• 资料依据：
• X：AI Safety Memes (@AISafetyMemes)（2026-09-18）：https://x.com/AISafetyMemes/status/2100784601694347742
• S1r1u5 Security Research（2026-09-18）：https://s1r1u5.ninja/posts/openai-account-takeover-2026

本内容由 AI 生成，仅供参考，请注意甄别