Claude Opus 5 ubah bug libheif jadi RCE di forum OpenAI dalam hitungan jam

Apa yang sebenarnya terjadi

Tim tiga orang dari startup keamanan Hacktron AI — Harsh Jaiswal, Mohan Pedhapati, dan Rahul Maini — merangkai dua kerentanan untuk membobol forum komunitas OpenAI dan menjangkau akun ChatGPT serta Codex milik karyawan. Titik masuknya adalah heap buffer overflow di libheif v1.19.7, pustaka yang mendekode file gambar HEIC/HEIF, yang dipicu dengan mengunggah gambar rekayasa yang diproses perangkat lunak forum Discourse lewat ImageMagick pada image Debian 12 yang belum ditambal. Dari sana, celah kedua pada konfigurasi SSO dan validasi karyawan OpenAI memungkinkan tim ini meningkatkan akses dari server Discourse yang sudah dikuasai menuju akun karyawan dengan akses GitHub dan Codex yang terhubung, hingga mencapai repositori internal.

Ini bukan skenario hipotetis. Hacktron mempublikasikan log bertanggal: peninjauan dimulai 23 Juli 2026; pengembangan exploit dengan Claude Opus 4.8 dimulai 24 Juli; remote code execution dan akses admin di community.openai.com dikonfirmasi pada 25 Juli 2026 antara pukul 05:00 dan 06:00 UTC, dengan akses akun karyawan dan pull request ke repo internal yang didemonstrasikan pada hari yang sama. OpenAI mengonfirmasi perbaikan pada pukul 22:49:45 UTC malam itu. Kisah ini terungkap ke publik pada 18 September, dan TechCrunch, The Register, NBC News, serta VentureBeat semuanya meliputnya secara independen di hari yang sama — tanda betapa besar perhatian komunitas keamanan dan AI terhadap apa yang direpresentasikan oleh eksperimen ini, bukan cuma apa yang berhasil dibobol.

Mengapa ini penting di luar judul beritanya: bagian menariknya bukan soal OpenAI diretas. Yang menarik adalah lompatan kemampuan model yang terekam di tengah operasi, dan kelas infrastruktur spesifik — dekoder media pihak ketiga dan logika eskalasi SSO — yang ternyata bisa dieksploitasi ujung ke ujung oleh model coding agentic dalam satu hari.

Lompatan kemampuan, dalam angka dari para peneliti

Tooling asli tim ini, Claude Opus 4.8, tidak bisa melewati perlindungan ASLR (address space layout randomization) target — pertahanan standar yang mengacak alamat memori khusus untuk membuat bug heap overflow seperti di libheif sulit diubah jadi exploit yang berfungsi. Biasanya di sinilah rantai serangan macet tanpa pengembang exploit spesialis manusia yang menghabiskan hari atau minggu untuk menanganinya.

Setelah Claude Opus 5 dirilis, tim ini mengklaim berhasil menghasilkan exploit ARM64 yang berfungsi dalam sekitar tiga jam, lalu memindahkannya ke x86-64. Itulah angka yang perlu direnungkan: kerentanan yang sama, tim yang sama, infrastruktur yang sama — tapi upgrade model mengubah "macet" menjadi "exploit berfungsi, lalu ditambah porting ke arsitektur kedua" dalam satu sore. Ini adalah kasus publik dan bertanggal paling jelas sejauh ini tentang model frontier yang melakukan kerja keamanan ofensif secara otonom dengan kecepatan yang tak tertandingi tim red team manusia mana pun.

CEO Gray Swan, Matt Fredrikson, yang dikutip TechCrunch, menyampaikan sisi aksesibilitasnya secara blak-blakan: "Dengan $200 per bulan, siapa pun bisa memakai alat-alat ini dan meretas perusahaan sekelas OpenAI." Itu adalah parafrase soal biaya alatnya, bukan klaim bahwa semua orang akan berhasil — para peneliti di sini punya keahlian pengembangan exploit sungguhan yang mengarahkan model tersebut. Tapi biaya marjinal untuk berpindah dari "menemukan bug" ke "exploit yang berfungsi" baru saja turun berkali-kali lipat bagi siapa pun yang sudah tahu ke mana harus mengarahkan model.

Hacktron juga mengklaim teknik ini bukan kejadian sekali pakai: pendekatan serupa muncul di berbagai target besar lain termasuk Slack, Meta, dan GitHub Enterprise, dan engagement berikutnya hanya membutuhkan reconnaissance minimal ketika dipasangkan dengan GPT-5.6 Sol. Dibaca apa adanya, ini adalah klaim bahwa teknik ini kini bisa diulang, bukan rantai keberuntungan satu kali.

Respons OpenAI, dan mengapa itu wajar

OpenAI membayar bug bounty sebesar $6.500, diberikan pada 1 September 2026, dan menyatakan penghargaan itu mengakui "temuan di sisi OpenAI, bukan tindakan terhadap Discourse" — pembedaan yang penting karena menarik garis antara logika SSO milik vendor sendiri (tanggung jawab OpenAI untuk memperbaikinya) dan bug dekoder perangkat lunak forum pihak ketiga (tanggung jawab Discourse, atau pada akhirnya libheif di hulu). OpenAI menyampaikan kepada wartawan: "Kami berterima kasih kepada para peneliti karena telah menghubungi kami dan membagikan temuan mereka."

Respons itu standar, dan waktu perbaikannya — konfirmasi di hari yang sama, sekitar 18 jam setelah RCE didemonstrasikan — memang tergolong cepat. Tapi hal itu juga menegaskan asimetri yang sebenarnya jadi inti cerita ini: pihak bertahan butuh siklus tambal-dan-konfirmasi yang terkoordinasi lintas dua organisasi perangkat lunak; pihak penyerang cukup butuh satu sore dan satu langganan.

Rantai serangan sesungguhnya, sebagai model ancaman

Lepaskan bingkai "AI meretas OpenAI" dan yang tersisa adalah rantai exploit yang normal, meski cepat, dan langsung memetakan ke infrastruktur yang dijalankan kebanyakan tim engineering di suatu tempat:

1. Unggahan media tak tepercaya — forum, portal dukungan, atau permukaan apa pun yang menghadap pengguna dan menerima unggahan gambar.
2. Dekoder pihak ketiga di jalur pemrosesan — ImageMagick memanggil libheif untuk memproses HEIC/HEIF, berjalan di atas base image yang belum ditambal.
3. Bug keamanan memori di dekoder — heap buffer overflow, jenis bug yang selama puluhan tahun menjangkiti pustaka gambar dan media berbasis C/C++.
4. Bypass ASLR — sebelumnya langkah penghambat yang butuh keahlian spesialis; kini sesuatu yang bisa dihasilkan model agentic dalam hitungan jam bila model dasarnya cukup mumpuni.
5. RCE di host layanan — kompromi penuh terhadap server aplikasi, dalam kasus ini instance Discourse.
6. Eskalasi SSO/identitas — celah terpisah dan tak berhubungan pada logika validasi karyawan yang mengubah "kami kuasai server forum" menjadi "kami bisa menjangkau akun GitHub dan Codex yang tertaut ke karyawan."
7. Akses repositori internal — target sesungguhnya, dicapai dua langkah dari formulir unggah awal.

Setiap satu dari tujuh langkah itu adalah hal biasa. Yang berubah adalah waktu antara langkah 3 dan langkah 5. Jika organisasi Anda menjalankan jalur unggahan yang menghadap pengguna lewat ImageMagick, libvips, libheif, atau rantai dekoder serupa, dan jika kompromi terhadap layanan itu bisa saja menjangkau sistem identitas dengan akses lebih luas, rantai ini adalah rantai Anda juga, hanya beda versi pustaka.

Apa yang harus dilakukan

Perlakukan ini sebagai tenggat waktu, bukan sekadar data point. "Kami akan tambal CVE itu sprint depan" sudah berisiko sejak awal; waktu putaran dari laporan bug ke RCE yang berfungsi dalam satu hari membuat sikap itu jadi tak terjangkau untuk apa pun yang menghadap internet.

Secara konkret: audit setiap layanan yang mendekode media unggahan pengguna — format gambar, video, dokumen, atau arsip — dan periksa versi pustaka yang benar-benar berjalan di produksi, bukan yang tertulis di manifest. Isolasi proses dekoder dengan sandboxing ketat (seccomp, gVisor, atau kontainer tanpa hak istimewa khusus) supaya heap overflow di dekoder tidak menyerahkan host ke penyerang. Pisahkan logika SSO dan validasi karyawan dari layanan mana pun yang menyentuh input tak tepercaya, sehingga server forum yang terkompromi jadi jalan buntu, bukan batu loncatan menuju repo internal. Dan jika tim Anda melakukan red-team terhadap infrastruktur sendiri, asumsikan lawan kini punya akses ke kelas model coding agentic yang sama dengan yang Anda pakai — anggarkan siklus pengujian defensif dalam hitungan jam dan hari, bukan minggu yang dibutuhkan tim red team manusia murni.

Bagian yang tidak nyaman dari kisah ini bukan soal OpenAI diretas; perusahaan yang kompeten dan berdaya besar sekalipun bisa diretas. Yang tidak nyaman adalah langkah penghambat dalam intrusi nyata — melewati satu proteksi memori standar — runtuh dari "macet total" menjadi "tiga jam" di antara dua rilis model, dengan log publik dan bertanggal sebagai buktinya.