Sicherheitsforscher nutzten Claude, um in das interne Code-Repository von OpenAI einzudringen

Drei Sicherheitsforscher nutzten Anthropics Claude Opus 5, um im vergangenen Sommer in das interne Code-Repository von OpenAI einzudringen. Das hat eine Recherche des Wall Street Journal ergeben, die diese Woche veröffentlicht wurde. Das Team nutzte eine Schwachstelle in Discourse — der Forensoftware hinter OpenAIs Community-Plattform — und ließ Claude den Exploit-Code generieren, der schließlich den Weg zu Mitarbeiter-Authentifizierungstoken und von dort zur privaten GitHub-Infrastruktur öffnete.

Wie sie hereinkamen

Die Forscher entdeckten einen Fehler in OpenAIs Discourse-Installation und nutzten Claude, um funktionierenden Exploit-Code zu schreiben. Dieser Exploit erbeutete Authentifizierungstoken vom Discourse-Server. Entscheidend: Einige dieser Token funktionierten auch auf ChatGPT selbst, und ein Teil gehörte echten OpenAI-Mitarbeitern — was dem Team einen Fuß in der Tür zur Produktionsumgebung verschaffte.

Mit diesen Zugangsdaten konnten die Forscher Dateien in einem Repository durchsuchen, das OpenAI intern "Monorepo" nennt. Auf Modellgewichte wurde nicht zugegriffen, und das WSJ fand keine Belege für kompromittierte Kundendaten.

Stille Offenlegung, leiser Patch

Die Forscher meldeten die Schwachstelle im Juli 2026 über OpenAIs Bug-Bounty-Programm vertraulich. OpenAI schloss die Discourse-Lücke, widerrief die exponierten Token und zahlte dem Team eine Prämie von 6.500 Dollar.

Die eigentliche Lektion: KI im Dienst des Angriffs

Was diesen Vorfall bedeutsam macht, ist nicht die Komplexität des zugrundeliegenden Fehlers — Discourse-Schwachstellen sind nicht selten — sondern die Rolle, die Claude bei dessen schneller Ausnutzung spielte. Dieselben Fähigkeiten, die große Sprachmodelle beim Debuggen von Code nützlich machen, machen sie effektiv beim Schreiben von Exploit-Code.

Der Vorfall ist zudem eine Erinnerung daran, dass KI-Sicherheit nicht nur eine Frage ist, was ein Modell verweigert. Autorisierungskontrollen, Repository-Berechtigungen und Netzwerksegmentierung sind die echte letzte Verteidigungslinie.