Claude вскрыл внутренние системы OpenAI за 72 часа: что умеет Opus 5 и какие доступы нельзя давать своему агенту в 2026

18 сентября 2026 стартап Hacktron опубликовал отчёт: трое исследователей с помощью Claude Opus 5 меньше чем за 72 часа прошли путь от публичного форума community.openai.com до внутреннего репозитория OpenAI на GitHub. Вход нашли 25 июля, Discourse выпустил заплатку 27 июля, OpenAI закрыла свою часть за 14 часов после сообщения и выплатила 6500 долларов по программе поиска уязвимостей.

Сама дыра тут второстепенна, такие находят каждый день. Внимания стоят две другие детали. Предыдущая модель Anthropic ту же задачу несколько сессий подряд не вытягивала, новая справилась за часы. И весь двухмесячный проект по десятку крупных целей обошёлся команде меньше чем в 3000 долларов на токены. Ниже разберём цепочку по шагам, а вторую половину статьи посвятим практике: какие права ты сам сейчас отдаёшь своему агенту и какие из них надо забрать прямо сегодня.

Коротко: семь терминов, без которых история не читается

• Эксплойт - программа, которая превращает найденную ошибку в реальное действие на чужой машине. Ошибка сама по себе безобидна, эксплойт делает её рабочим инструментом.
• libheif - открытая библиотека, которая раскладывает на пиксели фотографии в формате HEIC с айфонов. Стоит почти везде, где принимают картинки.
• ASLR - защита операционной системы, которая при каждом запуске раскидывает куски программы по случайным адресам в памяти. Именно из-за неё эксплойт, работавший вчера, сегодня падает.
• Discourse - популярный движок форумов, на нём работает community.openai.com и тысячи других сообществ.
• SSO, единый вход - механизм, когда один аккаунт открывает много сервисов сразу. Удобно, пока кто-то не получает контроль над узлом, который этот вход раздаёт.
• CVE - международный номер уязвимости. Без номера дыру сложно отследить по всем дистрибутивам, а значит легко пропустить.
• Bug bounty - программа, по которой компания официально платит за найденные уязвимости при условии, что о находке сообщили ей раньше, чем продали на стороне.

Что именно произошло: трое человек и 72 часа

Hacktron занимался проектом, который назвал HEIF Heist. Идея простая до обидного: почти любой крупный сервис принимает картинки от пользователей, почти везде картинки разбирает один и тот же стек библиотек, и почти везде этот стек обновляют с задержкой. Команда пошла по списку целей: Slack, продукты Meta, GitHub Enterprise, Next.js, Shopify, OpenAI.

Про OpenAI история получилась самой громкой. Форум community.openai.com принимает загрузку изображений, включая HEIC и HEIF с айфонов. Файл уходит в ImageMagick, тот передаёт его в libheif. На сервере стояла версия 1.19.7 с ошибкой переполнения кучи. Заплатка существовала с мая 2026 в версии 1.22.0, но в пакеты Debian 12 она к тому моменту не доехала.

Дальше началась вторая часть. Получив выполнение кода на машине форума, исследователи обнаружили ошибку в настройке единого входа: тот же механизм «Sign in with OpenAI», который пускал сотрудников на форум, управлял и доступом к внутренним системам. Контроль над форумным сервером позволял выдавать себя за активного участника форума и забирать его аккаунты ChatGPT и Codex. Согласия жертвы для этого не требовалось.

Один из перехваченных аккаунтов принадлежал сотруднику, у которого Codex был подключён к GitHub-организации OpenAI. Исследователи создали в закрытом монорепозитории один безобидный пул-реквест, зафиксировали факт доступа и остановили тесты. По их заявлению, чувствительные данные они не смотрели.

Ещё одна цифра из отчёта бьёт сильнее остальных. За всё время кампании тысячи загруженных тестовых файлов по разным сервисам заметил ровно один защитник: Shopify. Остальные компании не увидели ничего.

Где Opus 5 обошёл Opus 4.8

Эта часть истории объясняет заголовок. Hacktron начинал работу на Claude Opus 4.8. Модель понимала задачу, разбирала код libheif и собирала эксплойт, который работал при выключенной ASLR. С включённой защитой надёжного варианта не получалось несколько сессий подряд.

24 июля 2026 Anthropic выпустила Opus 5. Исследователи дали новой модели ту же самую задачу без изменений в постановке.

Opus 4.8 несколько сессий подряд буксовал и не выдавал рабочий эксплойт. Через считаные часы после релиза Opus 5 мы дали ему ту же задачу, и он справился.

- команда Hacktron, отчёт от 18 сентября 2026

Рабочий эксплойт для локального Mac Opus 5 собрал примерно за три часа, после чего исследователи перенесли его на серверное окружение Discourse и запустили модель в автономном цикле против тестовой копии форума.

Важно понимать границу. Цель выбирали люди, поверхность атаки находили люди, решение остановиться тоже приняли люди. Модель закрыла самый трудоёмкий кусок: превращение теоретической ошибки в надёжно работающий код. Раньше этот кусок стоил недель работы специалиста высокой квалификации, теперь он стоит нескольких часов и подписки.

Про то, как та же способность выглядит с другой стороны стола, мы писали в разборе про модель Astra, которую OpenAI притормозила из-за её навыков в кибербезопасности. Две истории сходятся в одной точке: границу проходят обе лаборатории, просто рассказывают об этом по-разному.

Почему эта история касается твоего домашнего агента

У тебя нет монорепозитория OpenAI и форума на миллион участников. Но механика, которая сработала в этой истории, у тебя дома стоит целиком.

Смотри на цепочку внимательно. Сначала сервис принял файл от постороннего. Потом обработчик файла оказался старым. Потом один захваченный узел раздал доступ ко всему остальному, потому что вход был единый. Три звена, и ни одно из них не про искусственный интеллект.

Теперь переложи на свой стол. Твой Claude Code читает файлы в проекте, включая те, что ты скачал из чужого репозитория. Твой почтовый агент читает письма от незнакомых отправителей. Твой браузерный агент открывает страницы, текст которых писал не ты. Каждый такой источник умеет содержать команду, адресованную модели, и модель её выполнит, если у неё есть права. Подробный разбор этой атаки лежит в гайде про prompt injection простыми словами.

Какие доступы нельзя давать своему агенту

Разберём по пунктам. Слева то, что люди выдают на автомате, справа то, чем это оборачивается и что делать.

Читать таблицу стоит так: каждая строка убирает одно звено из цепочки. Полной защиты ни одна не даёт, а вот превратить инцидент из катастрофы в неприятность каждая вполне способна.

Про то, где проходит здравая граница между удобством и риском при подключении внешних сервисов, есть отдельный разбор в гайде про коннекторы Claude и права доступа.

Как закрыть лишние права в Claude Code

Теория закончилась, дальше конкретные настройки. Все правила живут в файле settings.json: глобальный лежит в ~/.claude/settings.json, проектный в .claude/settings.json внутри репозитория.

Правило deny для того, что не должно случиться никогда

Блок deny проверяется раньше всего остального. Его не перебивает ни твоя фраза в чате, ни автоматический режим, ни настроение модели.

{
  "permissions": {
    "deny": [
      "Bash(git push --force*)",
      "Bash(rm -rf *)",
      "Bash(curl * | bash)",
      "Read(./.env)",
      "Read(./**/*.pem)"
    ]
  }
}

Две последние строки закрывают чтение файлов с секретами. Агенту незачем видеть содержимое .env, а вот случайно вывести его в ответ, который потом уедет в лог или в чужой контекст, он вполне способен.

Правило ask на всё необратимое

Блок ask заставляет модель спросить даже в автоматическом режиме. Сюда идёт всё, что выходит за пределы твоей машины.

{
  "permissions": {
    "ask": [
      "Bash(git push *)",
      "Bash(gh pr create *)",
      "Bash(npm publish *)",
      "Bash(ssh *)",
      "WebFetch"
    ]
  }
}

Проверить, что получилось на выходе, помогает команда /permissions прямо в чате: она показывает действующий набор правил с учётом всех уровней настроек.

Отдельные учётки и короткие токены

Самое важное правило не записывается в JSON. Агент должен работать под своей отдельной учётной записью. Отдельный аккаунт GitHub с приглашением в один репозиторий, отдельный почтовый ящик, отдельный ключ API с лимитом трат. Когда что-то пойдёт не так, ты отзовёшь один токен вместо того, чтобы менять пароли везде.

Флаг, который отключает всё сразу

У Claude Code есть режим --dangerously-skip-permissions. Он снимает подтверждения полностью. Название честное, и относиться к нему стоит буквально: включать только в одноразовом контейнере или на виртуальной машине, где терять нечего. На рабочем ноутбуке с почтой, ключами и доступом в корпоративный GitHub этот флаг превращает любую вредную инструкцию из чужого файла в исполненную команду.

Что именно разрешает и что блокирует штатный автоматический режим, мы разобрали в гайде про авторежим Claude Code.

Промпт: аудит доступов своего агента

Запусти это в проекте, где работает твой Claude Code. Модель пройдёт по конфигам и честно скажет, что у неё сейчас открыто.

Проведи аудит своих собственных прав в этом проекте. Действуй по шагам и ничего не меняй.
 
1. Найди и прочитай все файлы настроек, которые на тебя влияют: ~/.claude/settings.json,
   .claude/settings.json, .claude/settings.local.json, CLAUDE.md, .mcp.json.
2. Выпиши списком: какие команды Bash тебе разрешены без подтверждения, какие MCP-серверы
   подключены и что каждый из них умеет делать, к каким внешним сервисам у тебя есть доступ.
3. Проверь, какие файлы с секретами лежат в проекте и попадают ли они в твою зону чтения:
   .env, .env.local, *.pem, *.key, файлы с токенами в имени.
4. Проверь, что уедет наружу, если тебя обманут: есть ли у тебя право на git push,
   на сетевые запросы к произвольным доменам, на отправку писем, на выполнение чужих скриптов.
 
Собери итог таблицей из трёх колонок: доступ, чем он опасен в худшем случае,
какое правило deny или ask его закрывает.
Отдельным блоком напиши готовый фрагмент JSON для settings.json с твоими рекомендациями.
Ничего не выдумывай: если файла нет, так и напиши, что файла нет.

Ответ стоит прочитать целиком, по диагонали тут ничего не поймать. Чаще всего сюрприз находится в третьем пункте: в проекте лежит .env с боевым ключом, и он никак не закрыт.

Работает ли Claude Opus 5 из России и сколько стоит

Модель, которая справилась с задачей за три часа, доступна по обычной подписке. Никакого специального режима для этого не нужно, Opus 5 стоит в чате и в Claude Code у всех, кто платит.

Сайт и приложение Anthropic из России напрямую не открываются: при заходе с российского адреса встречает отказ, регистрация не проходит. Нужен зарубежный IP через рабочий VPN, причём подключение должно быть стабильным. Прыгающий адрес при регистрации даёт блокировку аккаунта заметно чаще, чем ровное соединение с одной страной. Подробности со всеми граблями лежат в гайде про Claude из России через VPN без банов.

Рубли посчитаны по курсу ЦБ на 19 сентября 2026: 84,20 ₽ за доллар. Проверяй курс на день оплаты, он гуляет.

Вторая половина вопроса про оплату. Российская карта в Anthropic не проходит, иностранная карта нужна обязательно. Варианта два: завести зарубежную карту самому или заплатить через сервис оплаты подписок (реферальная ссылка: тебе тот же прайс, мне небольшой процент). Второй путь быстрее, первый дешевле на длинной дистанции. Пошаговый разбор обоих способов есть в гайде про оплату Claude из России.

Чего эта история не означает

Заголовки вокруг новости разошлись в двух крайностях, обе неточные.

Первая крайность звучит как «ИИ научился взламывать сам». Не научился. Работали трое специалистов по безопасности, они выбирали цель, они собирали окружение для тестов, они принимали решение остановиться. Автономным был один цикл на тестовой копии форума, уже после того, как эксплойт заработал.

Вторая крайность звучит как «ничего нового, обычный bug bounty». Новое есть, и оно в цифрах. Меньше 3000 долларов на токены, три человека, два месяца, десяток крупных целей, включая Slack, Meta и GitHub Enterprise. Раньше такая программа требовала команды другого размера и бюджета другого порядка.

Отсюда и вывод, который стоит унести. Сторона нападения получила ускорение уже сейчас, сторона защиты получит его позже, когда компании переставят процессы. В этом промежутке выигрывает тот, кто заранее сузил свою поверхность атаки. Для компании это патчи и сегментация. Для тебя это список прав, который ты отдал своему агенту.

Чек-лист: что у тебя теперь есть

• Понимание цепочки: картинка на форуме, старая libheif, выполнение кода, ошибка единого входа, аккаунты сотрудников, внутренний репозиторий.
• Реальные цифры для разговора: 72 часа, 14 часов на исправление, 6500 долларов выплаты, меньше 3000 долларов на токены, CVE-2026-32882 с оценкой 8,8.
• Ответ на вопрос, чем Opus 5 отличается от Opus 4.8 на практике: обход ASLR и рабочий эксплойт за три часа там, где прошлая модель буксовала несколько сессий.
• Таблица из семи доступов, которые не стоит отдавать агенту, и замена для каждого.
• Готовые блоки deny и ask для файла settings.json, которые можно скопировать прямо сейчас.
• Промпт для аудита собственных прав агента в конкретном проекте.
• Цены Claude Opus 5 в рублях на 19 сентября 2026 и два рабочих способа оплаты из России.

Начни с малого. Открой ~/.claude/settings.json, добавь туда блок ask с пушем и сетевыми запросами, прогони промпт аудита в своём рабочем проекте. Это двадцать минут, после которых у тебя перестанет быть агент с правами администратора на всю твою цифровую жизнь.

По материалам The Decoder: Security researchers used Anthropic’s Claude to hack OpenAI’s internal systems in under 72 hours.