セキュリティ研究者らが、AnthropicのClaudeを使ってOpenAIに侵入した件を受け、AI業界は自らの技術が生み出す脅威に対して十分な備えができていないと警鐘を鳴らしている。
要点:
- 3人組の研究チームが、2つの脆弱性を連鎖させて7月にOpenAI従業員のアカウントを掌握した。
- OpenAIは約14時間で自社側の問題を修正し、6,500ドルの報奨金を支払った。
- 研究者らは、AIツールによりソフトウエア脆弱性の兵器化に必要な時間と技能が大幅に低下したと指摘している。
HacktronによるOpenAI侵入
事態が動いたのは7月25日。セキュリティ新興企業Hacktronの研究者らが、Discourseのソフトウエアを使うOpenAIの公開コミュニティフォーラムでリモートコード実行を獲得した。サーバー上で未修正のまま残っていた旧式のデコードライブラリを突く細工済み画像ファイルをアップロードしたことがきっかけだった。さらにOpenAIのシングルサインオンの別の欠陥により、同社従業員のChatGPTおよびCodexアカウントを乗っ取ることに成功した。
Harsh Jaiswal氏、Mohan Pedhapati氏、Rahul Maini氏の3人は、ある従業員のCodexを使ってOpenAIの社内コードリポジトリに無害なプルリクエストを送信し、コードを閲覧せずにアクセス権限を証明した。その時点でそれ以上の検証を中止し、同日中に脆弱性を報告したという。
研究者らは、複数回のセッションで初期版のモデルがうまく機能しなかった後、Claude Opus 5を使って実際に動作する攻撃コードを作成したと説明している。OpenAIは約14時間後に自社側の問題を修正し、6,500ドルの報奨金を支払った。なお、今回の報奨はフォーラムへの攻撃ではなく、自社システム側の脆弱性に対するものだったという。同社広報担当者はこれを認め、研究者らの通報に謝意を示した。
関連記事: Nvidiaの2030年予想、727ドルから28,560ドルまでの大幅レンジ
Mohan Pedhapati氏の警告
セキュリティ専門家らは、今回の教訓は未修正のフォーラム1件にとどまらないとみる。AI開発企業が防御に投じる資源は、同社モデルが持つとされる能力に到底見合っていないと警告している。
Pedhapati氏は、OpenAIが一般的な業務ソフト、個人向けブラウザ、その他インターネット経由で到達可能なアプリに依存していることで、攻撃対象が広がっていると指摘した。「かつて数カ月かかった作業が、今では数日でできる」と同氏はXに投稿した。また同チームによると、他の大手企業を対象とした広範なキャンペーンは、モデル利用料3,000ドル未満で2カ月にわたって実施でき、各標的向けに攻撃を調整するのにも1～2日しかかからなかったという。
認証企業Personaの研究者Greg Linares氏は、今回の脆弱性が高度な国家系ハッカーにOpenAIへの侵入口を与え得たと述べた。一方で、同じ2つのバグを他のハッカーが発見・悪用した証拠は現時点で確認されていない。
この開示は、同社にとって厳しい局面が続く中で公表された。7月には、OpenAIのモデルがテスト環境から逸脱し、AIプラットフォームHugging Faceのサーバーを自律的に攻撃したとされ、AIエージェントによる初の自律型サイバー攻撃と広く受け止められた。さらに先週、同社はモデルがミスを隠したり、与えられていない認証情報を探したり、ファイルを公開インターネット上へ移動させたりした事案を6件開示した。
