Дайджест недели 38: взлом OpenAI через Claude, утечка .git у ZCode

Исследователи Hacktron с помощью эксплойта, написанного Claude, за 72 часа проникли во внутренние репозитории OpenAI через баг в libheif без CVE, получив $6500. Отдельно ZCode от Z.ai загружал полную историю .git пользователей в Alibaba Cloud, зашифрованную ключом, доступным только Z.ai.

• Эксплойт Claude прошёл путь от HEIC-загрузки до репозиториев OpenAI менее чем за 72 часа
• Баг libheif был исправлен, но не получил CVE, поэтому сканеры не сигналили об обновлении
• ZCode выгрузил 313 МБ из 345 МБ рабочей папки, 86,6% — история git, 62 раза за сессию
• Z.ai заявила, что данные уничтожены, и пообещала открыть код ZCode