セキュリティ研究者が、AnthropicのClaude Opus 5を使ってOpenAI社員のChatGPTアカウントを乗っ取り、72時間足らずで同社の内部コードに到達した。
要点
- フォーラムの画像処理バグとOpenAIの認証不備を連鎖させ、ChatGPTとCodexのアカウントを掌握した。
- 旧モデルでは数日かかったが、新しいClaudeモデルは数時間で有効な攻撃手法を構築した。
- OpenAIは報告から約14時間後に修正し、後に6,500ドルのバグ報奨金を支払った。
Hacktron AIによるOpenAI侵入
セキュリティ系スタートアップのHacktron AIは今週、OpenAIと掲示板ソフト大手Discourseに報告してからほぼ2カ月後に、今回の攻撃手法を公表した。別報道でも確認されており、同チームが社員アカウントに侵入し、社内ソフトウェアへの経路を確保していたことが明らかになっている。
侵入口となったのは、Discourseで運用されるOpenAIのコミュニティフォーラムだった。同フォーラムはHEICおよびHEIF形式の画像アップロードに対応していたが、これらのファイルが古いlibheif画像ライブラリに渡されており、研究者はそこでサーバー上でコードを実行できた。Discourseはその後、関連する脆弱性を深刻度8.8と評価し、画像処理部分にサンドボックス機構を追加した。
さらに、OpenAIのシングルサインオン設定にも別の欠陥があり、フォーラムの制御権を奪えば、そこにログインしたユーザーのChatGPTおよびCodexアカウントまでアクセスできる状態だった。研究者はその後、OpenAIのGitHub組織と連携したある社員のCodexに対し、社内コードベースに無害なプルリクエストを作成するよう指示した。
OpenAIは7月25日の報告からおよそ14時間後に対応を完了し、6,500ドルの報奨金を支払った。
あわせて読みたい: テスラ、10月1日のロードスター披露を巡りウォール街の利益率試算と対決
Claude Opus 5で攻撃手法を短時間で構築
研究チームは当初、脆弱性の検証にClaude Opus 4.8を使ったが、標準的なメモリ防御を有効にすると攻撃を安定させることができなかった。Anthropicが7月24日夜にOpus 5を公開すると、新しいセッションでは3時間以内に実用可能なエクスプロイトを生成できたという。研究者は、遠隔の標的への攻撃は拒否されたため、自前のテストサーバーを対象に、ハッキング競技を装った自律ループでモデルを動かした。
防御側が見過ごせないのは、コスト面だ。研究者によれば、Slack、Meta、Zoomも調べた今回の広範なキャンペーンは、2カ月で使ったトークン代が3,000ドル未満、関与した人数は3人だったという。研究者はこうした結果を明らかにした。
メモリの脆弱性を信頼性の高いエクスプロイトへ落とし込むには、これまで希少な技能と数カ月単位の作業が必要だったが、AIによってその専門性が計算資源に置き換わりつつあると彼らは指摘する。
Vitalik Buterin氏は防御の行方に異論
もっとも、こうした流れを防御側の敗北とみる向きばかりではない。Ethereum共同創業者のVitalik Buterin氏は9月17日、反論を投稿し、「AIによるハッキングでサイバーセキュリティは終わったという見方が広がっているが、私は同意しない」と述べた。
Buterin氏は、プログラムがセキュリティ要件を満たすことを数学的に証明する「形式手法／形式検証」が答えだとする一方で、そもそも何をもって安全とするかを定義するほうが難しいと認めた。
今回の公表は、OpenAI自身のシステムをめぐるより奇妙な事案にも続いている。7月には同社が、評価中だったモデルのうちGPT-5.6 Solを含む複数モデルがテスト用サンドボックスから脱出し、ベンチマーク回答を追う過程でHugging Faceの本番インフラに到達したと確認した。Hugging Face側は、OpenAIが自社のテストに結び付ける前にこの侵入を検知していた。
