在其中一起事件中，研究人员借助竞争对手AI开发者的工具突破了OpenAI的系统，而在另一起事件中，另一组研究人员则成功诱导OpenAI的Codex智能体绕过了其沙箱控制。
根据Hacktron研究人员发布的一篇技术博客，他们通过串联多个漏洞实现了远程代码执行，并成功获取了OpenAI员工账号及内部系统的访问权限。
“2026年7月25日，我们通过串联两个高危漏洞，控制了多名OpenAI员工的ChatGPT账号，”Hacktron研究人员Harsh Jaiswal、Mohan Pedhapati和Rahul Maini写道，“利用这些账号，我们能够访问OpenAI的内部代码库，以及可能连接的许多其他系统。”
博客文章指出，攻击始于一个图像处理库中的漏洞，该漏洞导致了远程代码执行。随后，研究人员利用该初始访问权限提取了身份验证令牌，从而能够在连接的各个系统之间横向移动。
研究人员通过使用员工账号执行了一项无害操作来展示其获取的权限，并未窃取任何敏感数据，该项研究是在协调漏洞披露计划下进行的，相关漏洞在上报后已被修复。
Hacktron在本次行动中使用了OpenAI竞争对手Anthropic的Claude AI，研究人员表示，该模型被反复用于优化攻击路径并完善漏洞利用链，覆盖了侦察、漏洞分析和漏洞利用开发等多个环节。
网络安全研究员兼红队成员Vibhum Dubey表示，这些发现反映出AI系统在攻击场景中的应用方式正在发生转变。
“攻击焦点正从‘AI自身是否容易受骗’转向‘AI在受骗后被赋予了多大程度的行动权限’，”Dubey说道，“自主智能体能够解析指令、调用工具、编写或运行代码、访问文件以及与其他系统通信——这创造了比传统聊天机器人大得多的受攻击面。”
他补充道，即便是微小的缺陷也可能引发更为广泛的连锁反应。
“由于此类智能体具备自主行动、主动采取措施以实现目标以及跨多个系统协同的能力，其内部一个微小的漏洞就可能带来不成比例的严重后果。”Dubey表示。
Codex沙箱逃逸
另一家安全公司Accomplish的研究人员报告称，他们成功绕过了OpenAI Codex代码编写智能体环境中的沙箱控制。
研究人员表示，尽管系统设有用于限制智能体行为的机制，但该智能体依然超越了预设范围执行操作，并与外部系统进行了交互。
“我们找到了两种逃逸OpenAI Codex沙箱的方法，并于2026年8月12日全部上报给了OpenAI，两处漏洞均在8天内得到了修复。”Accomplish首席安全研究员Oren Yomtov在博客文章中写道。
博客显示，此次逃逸是通过智能体、其指令与可用工具之间的相互作用实现的，从而使其越过了预设的边界进行操作。
Dubey指出，企业不应将沙箱作为单一的安全防御手段。
“我会避免将沙箱视为不可破摧的安全屏障，”他表示，“如果企业允许来自AI智能体的数据读写或代码执行，就必须思考在沙箱失守时，还需要哪些额外的控制措施来保障整个系统的安全。”
身份与访问权限扩大了影响范围
这两起披露事件均强调了身份识别系统如何影响安全演示的破坏范围。
在Hacktron的案例中，研究人员表示，在获得初始访问权限后，利用身份验证令牌便可以在多个系统间横向移动，这使得攻击者能够访问初始入口之外的其他服务。
Dubey表示，在此类环境中，企业应当将AI智能体视为具备高特权的实体。
“每个AI智能体都应拥有独立的身份，并配备量身定制的精细化权限、受限且易于轮换的凭证、受到严格控制的网络访问以及全面的日志记录。”他说道。
这种架构在企业环境中应用广泛，通常依靠身份验证令牌和集成服务来管理跨应用程序的访问权限。
Dubey补充道，这项研究不应被视为仅针对特定厂商的问题。
“我不会将这些发现理解为某一家AI供应商独有的问题，”他表示，“这些发现有助于揭示企业在围绕AI构建安全防护体系时，普遍存在的更为广泛的能力短板。”
他指出，传统的方法可能已不再适用。
“许多企业正尝试使用传统的应用安全方法来保障AI安全，但AI本质上是完全不同的系统，需要全新的控制手段来妥善保障其使用、数据、模型和算力资产的安全。”Dubey说道。
Dubey最后强调，企业在设计系统时应当假设失效必然会发生。
“企业AI安全的真正考验，不在于能否阻止所有AI故障的发生，而在于确保单个被控或被操纵的智能体不会引发整个企业IT基础设施的大范围突破。”
企业网D1net(www.d1net.com)：
国内头部to B IT门户，旗下运营国内头部的甲方CIO专家库和智力输出及社交平台-信众智(www.cioall.com)。旗下运营19个IT行业公众号(微信搜索D1net即可关注)。
版权声明：本文为企业网D1Net编译，转载需在文章开头注明出处为：企业网D1Net，如果不注明出处，企业网D1Net将保留追究其法律责任的权利。
天顺优配提示：文章来自网络，不代表本站观点。
