👁 119 次阅读
2026年9月18日，HackerNews首页同时躺着三件事：一条452分的黑客披露帖说，三个安全研究员用72小时、不到3000美元的token，把一个AI巨头的内部代码仓库摸到了手；一条231分的CNN报道说，美军在伊朗战争中使用AI生成的虚假情报报告，差点出人命；还有一条204分的技术博客说，一个AI编程客户端在你完全不知情的情况下，把整个工作区的Git历史悄悄传上了云。
三件事的主角不同，但指向同一个问题：AI的信任边界，正在从我们预期的地方被撕开。
一、72小时、3000美元，如何摸进OpenAI的内部仓库
安全团队Hacktron在2026年7月25日披露：他们用两条关键漏洞串联，攻破了多个OpenAI员工的ChatGPT账号，随后借此访问了OpenAI的内部代码仓库。为了证明拿到了访问权而没有真正读取任何敏感信息，团队用被接管的那位员工的Codex，在OpenAI内部单仓库里开了一个PR。从最初发现漏洞到拿到内部仓库访问权，全程不到72小时。
两条链是：一是Discourse（community.openai.com使用的论坛系统）的图片上传管线——FastImage不支持HEIF格式，所以这类文件被转交给ImageMagick处理，直接暴露了底层的libheif解析器。libheif存在堆缓冲区溢出；更要紧的是，上游去年已修复的相关提交被记录为普通变更，既没有标注为安全修复，也没有分配CVE，导致Debian 12和13长期带着这个漏洞。二是OpenAI身份基础设施里的SSO配置错误——这才是真正让论坛失陷升级为ChatGPT/Codex账号被劫持的跳板。Hacktron特别强调，问题不在Discourse本身：任何使用OpenAI SSO的服务一旦被攻破，都会产生同样的后果。
OpenAI最终支付了6500美元赏金并标记已修复，但也在回复里说明：针对community.openai.com的测试并不在他们的漏洞赏金范围内，这笔赏金只认可OpenAI侧的发现。
二、三条裂缝速览
CNN在2026年9月18日的报道里写：美军在伊朗战争中使用AI生成了虚假情报报告，一度把中国船只当成了目标，险些酿成误判。报道直接点出，这是把一项相对难以捉摸的新技术用在最敏感的战场时暴露出的风险。（据CNN报道，HackerNews相关讨论231分）
ZCode是智谱官方AI编程桌面端。研究者ferstar的取证显示：登录状态下，客户端会静默把整个工作区打包——完整Git历史、LFS资产缓存、reflogs、全局应用配置——加密后直传阿里云OSS。加密用的RSA公钥是服务器即时下发的，私钥只存在云端，本地那几百兆密文既无法被用户解密，也无法被ZCode客户端自己解密。研究者自己的一个10GB商业项目仓库，被扫出345MB、90%以上是.git内容，打成313MB的包，还记录了564次上传失败重试。更麻烦的是，UI上的上传开关并不能真正停止这个过程，删文件只是打地鼠，真正有效的做法是给目录加不可变锁。
三、对照：三条裂缝的性质差异
| 事件 | 暴露面 | 代价 / 影响 | 发现方式 |
|---|---|---|---|
| OpenAI内部仓库被攻破 | 论坛依赖漏洞 + SSO配置错误 | 72小时，不到3000美元token | 黑帽披露 + 漏洞赏金 |
| 美军AI虚假情报险情 | 军事决策中的AI幻觉 | 真实战场上的误判风险 | 媒体报道 |
| ZCode静默上传 | 客户端默认行为 + 密钥归属云端 | 313MB压缩包，90%以上为Git历史 | 本地取证与逆向 |
四、趋势：裂缝不在模型里
最值得记的一点是，三条裂缝没有一条出在模型本身。AI安全的问题，早就不是模型能不能说对，而是接入层、供应链和默认行为假设有没有在悄悄被打破：一条被当成普通变更、从未分配CVE的依赖库提交；一项被默认配置成可以横向扩权的单点登录；一个被预设为会自动上传、并且密钥不交还给用户的客户端。
所以关于AI风险的讨论需要换一个说法。不是AI越强、风险就越高，而是AI越被接进真实流程，暴露面就越宽——从内容生成，到身份鉴权，到代码仓库，到战场情报。用户现在能做的动作很具体：查一查自己组织的SSO和第三方连接配置；看一眼常用AI客户端有没有在后台静默上传数据；审一下依赖库里那些没有CVE标记的安全修复。
（数据来源：Hacktron披露帖、CNN报道、blog.ferstar.org技术博客；热度数据据HackerNews社区讨论）