Hacktron
拿前沿模型当进攻工具

官网首页把 Hacktron 称为 AI 原生的网络安全平台，口号是为 AI 驱动的威胁做安全；官方 X的简介自称是面向工程团队的自主漏洞猎手。产品有三条：Hacktron Red 是对整个组织攻击面的持续红队，创始人在 2026-10-29 的帖子里说，黑过的公司够多了，所以把它做成了服务（原帖）；Hacktron Review 是按每个 PR 做的安全审查，2026-04-28 发布；Hacktron Whitebox 是对指定应用的白盒渗透。首页标 Pro 计划每开发者每月 40 美元起、开源项目免费。首页的客户评语（每周分诊 300 多条发现、每个 PR 审查 1–2 分钟、81.1% 的已分诊发现可操作）没有标客户公司名，属于公司自述；融资稿提到做过安全测试的客户有 Perplexity AI 与 Supabase。

官网团队页列 4 人，履历都是自述：Zayne Zhang（联合创始人兼 CEO，写剑桥计算机系肄业、曾在 TikTok、DEF CON CTF 2023–24 亚军、获 15 个 CVE 署名）；Mohan Pedhapati（联合创始人兼 CTO，曾任 Cure53 高级研究员）；Harsh Jaiswal（联合创始人兼首席研究官，曾在 ProjectDiscovery、赏金榜靠前）；Fabian Faessler（Head of Agent Engineering，网名 LiveOverflow，写有 100 万以上 YouTube 订阅者）。《Hacking OpenAI》署名的第三位 Rahul Maini 不在团队页上，职位本刊没有核到。媒体常说的“三人团队”指这篇文章的三位署名者，不是公司总人数；总人数本刊没有核到。

法人与地点。融资公司稿的发布主体写 Hacktron AI, Inc.，电头是旧金山；Cambridge Independent（2026-05-25）把它写成剑桥的创业公司，该文没有写成立时间与人数。官网和 GitHub 都没有注册地信息，所以“成立”只记 2025 年：官方 X 账号 2025-04 注册，官网 blog最早的公司向文章是 2025-04-21 的《How can we make AI hack like a human?》，2025-08-14 的《Introducing Hacktron AI》写产品当时处于 private beta，Gumroad 是“几个月前”做的第一次审计。法人注册日期本刊没有核到。

漏洞披露。官网公告库在 2026-10-30 列 28 条漏洞、涉及 21 个项目（严重 10、高危 15、中危 2、低危 1），编号 HTAI-001 至 028，近期条目有 GitHub Enterprise Server 的 RCE（CVE-2026-19118，2026-09-01）、libheif 的堆溢出（CVE-2026-84383，2026-08-25）、Discourse（CVE-2026-32882，2026-07-28）、Nuxt、Rocket.Chat、Metabase、WSO2、Sonatype 等。官网 blog 列表另有 BeyondTrust Remote Support 的预认证 RCE（CVE-2026-1731，CVSS 9.9，2026-02）和对 OpenAI 的 Atlas 浏览器相关问题的披露（2025-12 文章；公告库 HTAI-022 为 OpenAI 论坛上的一处 XSS，2026-06-05）。这些都是公司自己的列表；其中 Discourse 一条有Discourse 的 GitHub 安全公告独立佐证（CVSS 8.8，署名 hacktronai-research）。

代码。GitHub 组织 hacktronai（带 Verified 标记）在 2026-10-30 有 9 个仓库，其中 skills（Hacktron CLI 的工作流扩展，115 星，MIT）、cull、dependency-scan 和漏洞披露汇总 hacktivity 是自己的，hacktron-cli 已归档，另有 next.js、safe-settings 两个 fork。

模型能力自测。官网 blog 里有一组“前沿模型能写出多少利用代码”的公司自测：2026-04-15作者让 Claude Opus 为一个旧版 Chrome 写完整利用链，自述花 23 亿 token、2,283 美元、约 20 小时人工；2026-07-08用 15 个已修补的 Fider 漏洞对比 8 个模型，称开放权重模型与前沿模型差距在缩小；2026-07-14称在 Chrome 利用链上只有 GPT-5.6 Sol Ultra 做出了完整链（20.96 亿 token）；2026-10-26给五个模型同一个已有的利用代码，称 Claude Mythos 5.1 与 GPT-5.6 Sol 拿到 flag，三个开放权重模型没有成功。这些都是单一团队自己跑的、样本很小的内部测试，没有第三方复现。

官网另有一篇2026-07-23 对 OpenAI 模型与 Hugging Face 事件的重构，作者自己写明是用公开数据推测发生了什么，含“猜测”小节，本档案不引其内容。

官方叙述。《Hacking OpenAI》（2026-09-13，Harsh Jaiswal、Mohan Pedhapati、Rahul Maini 署名）写：2026-07-25，团队把两个严重漏洞串起来，接管了多名 OpenAI 员工的 ChatGPT 账号，借此可以进入内部仓库，理论上还有更多连接的服务。入口是 OpenAI 用 Discourse 搭的社区论坛：HEIC/HEIF 图片被交给 ImageMagick，暴露出 libheif 解码库里一处未被发行版回补的堆溢出；第二个问题在 OpenAI 的单点登录一侧，论坛一旦被攻破，就能变成 ChatGPT 与 Codex 账号的接管。证明方式：用一名员工、且 Codex 已连到 OpenAI 的 GitHub 组织的账号，让 Codex 在内部单体仓库开了一个 PR，随后停止测试；文章称这样做是为了不去读任何内部代码。

用了什么模型。文章写 Opus 4.8 多次尝试都没做出在地址随机化开启时可用的利用代码；Anthropic 在 07-24 晚发布 Claude Opus 5，团队说数小时内同一个问题就解决了，07-25 06:00 UTC 本地稳定，10:00 UTC 起对自己搭的 Discourse Cloud 实例成功，再对 OpenAI 论坛成功，从发现到进仓库不到 72 小时。文章也写到 Opus 一度拒绝为远程目标写利用代码，团队随后继续推进（经过见原文），并强调这不是完全自主的黑客行为，熟练的人的指导仍然重要。TechCrunch写团队用的是为安全研究者提供的特殊版 Opus 4.8，官网文章没有这样写，本刊不采这一说法。

披露与修复。OpenAI 一侧的问题通过 Bugcrowd 提交，OpenAI 在约 14 小时后确认修复；Discourse 一侧通过 HackerOne 报告，07-27 有修复，07-28 发公告（GHSA-vhm9-85gw-x335，CVE-2026-32882）；libheif 所在的 Debian 13 在 08-08 才发布安全更新。VentureBeat（2026-09-17）确认 Discourse 的公告与补丁，并写 OpenAI 尚未公布自己的详细说明。

成本口径。“不到 3,000 美元”是整个 HEIF Heist 项目（官网文章写两个月、三位研究员、多家公司；项目页列出其余目标）的 token 总费用，不是打 OpenAI 这一单；文章说每适配一家新公司通常要 1–2 天。文中还称只有 Shopify 察觉到了他们的探测。除 OpenAI 一单外，其余目标（Slack、Meta 等）的细节与厂商确认，文章没有同等程度地给出。NBC News（2026-09-18）引 Persona 的研究员 Greg Linares 的话，称这条链与高水平真实攻击者所用的手法差别不大，并写没有证据显示其他人利用过这些漏洞。站内 第 104 期收录了这条消息。

范围。官网文章引用 OpenAI 在 09-01 的评论：奖励针对 OpenAI 一侧的发现，不针对对 Discourse 的操作，并且 "testing against the Discourse-hosted community.openai.com was explicitly excluded from our bug bounty program"。TechCrunch的开头写成团队“在 OpenAI 的赏金项目下”测试，文中没有提论坛在范围外；VentureBeat 则写论坛不在赏金范围内；SecurityWeek（2026-09-18）的写法是：赏金给了 OpenAI 一侧的登录发现。

OpenAI 的说法。OpenAI 对 SecurityWeek 说，图像处理漏洞属于第三方服务 Discourse，账号接管路径是 OpenAI 自己的问题：社区论坛的登录令牌权限过大，能拿到关联 ChatGPT 与 Codex 账号的完整 API 访问；OpenAI 对 SecurityWeek 与 VentureBeat 的声明是感谢研究者，并收窄了社区登录令牌的权限、吊销了受影响的令牌与会话。OpenAI 还对 SecurityWeek 说，自己的复盘发现对私有仓库元数据与提交有限度的读取，随后才是研究者提交的 PR（改动一个 README）；Hacktron 提到的 Slack 访问，OpenAI 说未被验证。对照官网文章写的“证明访问而不读取任何内部代码”，两边口径并列，本刊没有更多材料可以核对。

授权。OpenAI 的 Bugcrowd 项目页（本刊 2026-10-30 查看，不一定是 2026-07 当时的版本）标为部分安全港，规则包括只测试范围内系统、尊重范围外系统，以及除非 OpenAI 授权，只与自己的账号交互。官网文章没有写 OpenAI 或相关员工是否事先授权了接管账号这一步，其他媒体也没有写；因此“员工账号与 PR 是否在授权之内”，公开材料没有说明，本刊不下结论。

披露之后。Washington Post（2026-09-20，经 Yahoo 转载）写 Faessler 在 X 上称 OpenAI 首席信息安全官 Dane Stuckey 评价研究者不专业，随后 Stuckey 联系道歉。Faessler 的长串（2026-09-19）是当事方的叙述：8 月中旬曾想与 OpenAI 建立合作而无回应；09-01 收到赏金和“论坛在范围外”的解释；OpenAI 的 CISO 称团队的草稿是噱头式的黑客文件；OpenAI 没有威胁过法律行动，但团队仍然害怕并咨询了律师；之后团队改成只围绕 OpenAI 来写。OpenAI 一侧对这段沟通的直接表述，本刊没有找到。

官网的叙述。2026-10-30 的文章写：一个含 shell 元字符的邮箱地址让任何注册用户在 GNU Savannah 后端执行命令，之后提权为站点超级用户、冒充 Bash 维护者并确认能添加有权推送 Bash 上游仓库的 SSH 密钥，一个未打补丁的内核让其拿到 root 和一台 GNU 备份服务器的访问；2026-05-11 报告，后续又报告了其余 25 项，总计 26 个已确认漏洞，FSF 全部修复。

FSF 的叙述。FSF 在 2026-08-07 的事件报告（PDF）写：5 月 11 日 Hacktron 的 Harsh Jaiswal 与 Rahul Maini 在 GNU 邮件列表上报告并在线上系统演示了漏洞；该报告覆盖编号 HCK-001 至 HCK-008 的八项，其中一项是命令注入导致的远程代码执行，加上经两个旧 OverlayFS 漏洞提权到 root；HCK-005、HCK-007 两项 XSS 经审核是误报；多个案例中 FSF 工作人员无法复现，或判定为误报；FSF 内部检查后认为敏感项目数据和凭据没有被访问，软件供应链没有被攻破。报告没有提 Bash 仓库、备份服务器，也没有“26”这个数。

这两份并列：FSF 的报告只覆盖八项，官网称总计 26 项，两者不矛盾也无法互相确认；Bash 推送权限与备份服务器访问，只有官网一侧的叙述。本刊不裁决。

别的自述口径。官网首页的客户评语、与 XBOW 和 Aikido 的价格对比、各模型的利用开发自测、“26 个已确认漏洞”，都是公司自己的数字；融资稿里的营收、客户也是公司稿。能由第三方佐证的有：融资事实（Cambridge Independent 与稿件一致）、Discourse 的披露（对方公告）、OpenAI 对事件的声明和赏金、FSF 的事件报告；BeyondTrust 等披露的媒体报道，见官网新闻页列出的清单。

像什么。在本站的名录里，它对应№ 50 Irregular那类“替前沿实验室做进攻侧评测”的团队，也与№ 36 Gray Swan AI（TechCrunch 在这条新闻里引了其 CEO 的评论）、№ 33 Haize Labs和№ 23 Palisade Research同属红队与攻防一侧。区别在于 Hacktron 的主业是卖红队和代码审查产品，研究是产品的门面和获客渠道（融资稿自己写了要配合发研究内容）；它没有发布模型，也没有独立评测榜单。

已经有的。真实的团队与融资；持续的漏洞披露，其中一部分有厂商公告佐证；一次足以让 OpenAI 公开声明并发赏金的事件；一组把前沿模型“写利用代码”的能力当作时间序列来记录的自测。

没有或不可核的。自测数字没有第三方复现，测试集小；“Opus 5 在数小时内解决了 Opus 4.8 多次失败的问题”是一次个案；对 OpenAI、Slack、Meta 等目标的完整过程只有官网一侧的叙述；授权边界与披露沟通存在当事方各说各话的部分。

本刊没有核到的有：法人注册地与注册日期；公司总人数；Rahul Maini 的职位；客户名单（首页评语无公司名）；OpenAI 员工账号那一步是否事先授权，以及 2026-07 当时的 Bugcrowd 规则版本；OpenAI 对披露沟通的直接表述；Anthropic 对这次使用方式的表态；GNU Savannah 的 Bash 推送权限与备份服务器访问在 FSF 一侧的确认；WSJ 与 FT 的全文。