Pwn2Own大赛：OpenAI Codex和LiteLLM等AI工具被攻破

由 Zero Day Initiative（ZDI）于 2026 年 10 月 6 日至 8 日在爱尔兰科克举办的 Pwn2Own Ireland 2026 大赛上，安全研究人员现场攻破了多款 AI 产品，其中包括 OpenAI Codex 和 LiteLLM。据 ZDI 公布的信息，仅比赛第一天就发现了 32 个独特的零日漏洞，即厂商此前尚不知晓的安全漏洞。

Pwn2Own 是趋势科技（Trend Micro）旗下 ZDI 主办的安全竞赛。参赛者需在规定时间内，对已更新到最新版本并采用默认配置的产品现场演示攻击，成功者可获得奖金以及争夺 Master of Pwn 称号的积分。根据比赛规则，获胜者须向 ZDI 提交可用的漏洞利用代码和技术白皮书，ZDI 再将漏洞信息披露给受影响的厂商，以便厂商制作修复补丁。

OpenAI Codex 在编程智能体类别中被攻破

Codex 是 OpenAI 面向开发者推出的 AI 编程智能体，可以编写代码并执行命令。本届大赛的 AI 编程智能体类别以 Anthropic 的 Claude Code 和 OpenAI Codex 为目标。规则要求，有效的攻击须借助参赛者控制的资源（例如网页、代码仓库或媒体文件），利用智能体本身的漏洞，在其预设的沙箱和权限边界之外执行代码。目标智能体在 Windows 11 上以默认配置运行，沙箱保持开启。针对模型的越狱攻击以及关闭权限确认的运行模式不在比赛范围之内。

据 ZDI 第一天的比赛结果，Ikotas Labs 团队仅利用一个参数注入（argument injection）漏洞就攻破了 OpenAI Codex。公布的赛程中没有针对 Claude Code 的报名尝试。

LiteLLM 及其他 AI 基础设施目标

LiteLLM 是一款开源代理层软件，可让应用通过统一接口调用多家 AI 服务商的模型。比赛第一天有两支队伍以其为目标。来自 Xint 的一名研究人员将输入验证不当漏洞与代码注入相结合，在服务器上获得了反向 shell。Out of Bounds 团队则使用了由四个漏洞组成的利用链，据 ZDI 介绍，其中两个此前已为人所知。

在同一类别中，Oracle Autonomous AI Database 在三天内被多次攻破，第一天的成功尝试使用了由五个漏洞组成的利用链。针对开源向量数据库 Chroma 的部分尝试因超时未能完成，第二天则有两次尝试取得成功。名为 Dynamo 的目标也在第二天被攻破。根据规则，该类别的攻击须从参赛者的笔记本电脑经网络发起，并且必须绕过目标的身份验证。ZDI 将部分尝试记为“撞车”（collision），意思是所用漏洞中有一些此前已报告给厂商或 ZDI。

赛事概况与漏洞修复流程

除 AI 产品外，本届比赛的目标还包括三星 Galaxy S26 和谷歌 Pixel 10 手机、智能家居设备、打印机以及一款健康设备。据 ZDI 第三天的文章，攻破 OpenAI Codex 的 Ikotas Labs 团队获得了 Master of Pwn 称号。

根据 ZDI 的漏洞披露政策，厂商作出回应后有四个月（120 天）时间修复漏洞。如果到期后漏洞仍未修复，且厂商未能给出合理说明，ZDI 将发布一份只包含有限信息的安全公告。

ZDI 的赛果文章没有公开漏洞的技术细节，也没有说明被攻击的 Codex 版本或所用的攻击场景。第三天的文章也未给出整场比赛发现的漏洞总数。使用这些产品的团队应关注并及时安装厂商发布的安全更新。如需更全面地了解情况，也请关注独立研究人员的评估。

来源：ZDI：Pwn2Own Ireland 2026 第一天结果、ZDI：第二天结果、ZDI：第三天结果与 Master of Pwn、ZDI：Pwn2Own Ireland 2026 比赛规则、ZDI：漏洞披露政策。