同一天，OpenAI在官方博客发文说明：两家公司的工程师会共同圈定高优先级测试对象，重点检查AI系统与第三方服务之间的连接弱点。作为交换条件，Hacktron可以通过"Daybreak Red"计划调用OpenAI的前沿网络安全模型。
时间回到2026年7月25日，Hacktron的研究人员把一份报告交到了OpenAI的漏洞赏金平台Bugcrowd手上，里面记录了一条完整攻击链：不到72小时，他们从OpenAI的社区论坛一路摸进了公司内部代码仓库。
入口是一张精心构造的HEIF格式图片，被上传到OpenAI的Discourse论坛。论坛的图片处理模块所用libheif版本存在已知漏洞，堆溢出被触发，远程代码执行（RCE）随之实现。站稳之后，研究人员又发现OpenAI的单点登录（SSO）机制有缺陷，顺着它横向跳进多名员工的ChatGPT和Codex账号，再借Codex绑定的GitHub权限，进入OpenAI内部私有代码仓库。
为了证明访问权确实有效、又不碰敏感代码，研究人员用一名员工的Codex账号在内部monorepo里提了一个无害的Pull Request，随后主动收手。
报告送达约14小时后，OpenAI确认并修复了SSO问题；Discourse接到通知两天后打上了论坛端补丁。2026年9月1日，OpenAI向Hacktron支付6500美元赏金。9月13日，Hacktron把完整攻击过程公开。渗透过程中，Hacktron借助了Anthropic旗下的Claude作为辅助工具。
从"对手"到"战友"：合作逻辑的背后
Hacktron专做AI驱动的安全工具，产品线包括代码审查AI代理、渗透测试自动化和红队测试服务。它的拿手戏，是把大语言模型的推理能力接进攻击性安全的工作流。
该公司首席执行官Zayne Zhang在公告中表示："网络安全的未来不会由谁拥有最大的安全团队来决定，而是由谁能最好地将人类创造力与AI驱动能力相结合来决定。"他还说，OpenAI"通过将前沿网络安全模型交到安全研究人员手中，树立了强有力的榜样"。
Daybreak Red：访问架构
Hacktron拿到的Daybreak Red权限，属于OpenAI分层网络安全计划的核心部分，该计划于2026年8月10日正式公布。Daybreak眼下分成两层：
- Blue层：服务对象是多数防御性安全团队，提供带防护措施的通用前沿模型；
- Red层：面向获准开展漏洞研究、漏洞利用验证和红队测试的组织，提供专门训练的网络安全模型，涵盖GPT-5.6-Cyber以及后续的GPT-6 Cyber版本。
想进Red层，得先过身份验证、账户安全审查、使用限制认定和法律声明几道关。OpenAI把Red层访问权交给Hacktron，等于允许后者用这些针对攻防场景专门训练的模型，来挑OpenAI自己的毛病。
宣布与Hacktron合作的同一周，OpenAI还表示Cathedral的研究人员将参与其下一次安全冲刺，同时把漏洞赏金计划的奖励上限调高。
真正的漏洞在哪里
Hacktron这次入侵，照出了AI时代一个结构性的安全难题：最危险的口子不在AI模型身上，而在AI系统与周边服务的接缝处。
攻击从论坛的图片处理模块起步，最终抵达内部代码仓库。中间的跳板是SSO——这个机制本来是为了简化访问管理，结果把所有服务的权限捆在了一起。攻击者不必直接攻破GPT，只要找到围绕GPT运转的某个边界松垮的第三方系统就行。
到了AI Agent时代，这个逻辑还会被放大。AI代理一旦被授权连接日历、邮件、代码库、CRM系统，每条新接入的链路都是潜在的新入口。OpenAI在公告中写明，此次合作的重点正是"测试AI代理以新方式连接服务时产生的弱点，并将发现用于强化防御"。
独立判断
把入侵者变成合作者，是成熟安全体系的常规操作。谷歌Project Zero、微软MSRC、苹果安全研究设备项目，都在不同程度上走过这条路。OpenAI的特别之处在于，它的核心产品是AI，用来加固安全的工具也是AI——攻与防共用同一套技术底座，这让该领域的军备竞赛在逻辑上比传统软件安全绷得更紧。
Hacktron借Claude打入OpenAI，OpenAI再用GPT-6 Cyber武装Hacktron回头测自己，看着像个悖论，其实是AI安全的现实处境。谁能把这股能力装进可控的制度框架里并持续迭代，谁就握着下一阶段的安全主动权。
