OpenAIへの侵入に成功した研究者らは、AI業界が自らの技術が生み出す脅威に十分備えられていないと警告している。研究チームはAnthropicのClaudeを用いてOpenAIに侵入し、わずか72時間未満で突破に成功した。
要点
- 3人の研究チームが2つの脆弱性を連鎖させ、7月にOpenAI従業員のアカウントを掌握した。
- OpenAIは約14時間で自社側の問題を修正し、6,500ドルの報奨金を支払った。
- 研究者は、AIツールによってソフトウェア脆弱性の兵器化に必要な時間と技能が大幅に低下したと指摘する。
HacktronによるOpenAI侵入の経緯
事の発端は7月25日だった。セキュリティ新興企業Hacktronの研究者らは、Discourse製ソフトウェアを使うOpenAIの公開コミュニティフォーラムでリモートコード実行の権限を取得した。サーバー上で未修正のまま放置されていた古いデコード用ライブラリの脆弱性を突き、細工した画像ファイルをアップロードしたという。さらに、OpenAIのシングルサインオンに別の欠陥があり、同社従業員のChatGPTおよびCodexアカウントまで乗っ取ることができた。
Harsh Jaiswal氏、Mohan Pedhapati氏、Rahul Maini氏の3人は、ある従業員のCodexを使ってOpenAI内部のコードリポジトリに無害なプルリクエストを送り、実際にアクセスできたことをコードを閲覧せずに証明した。そこで同チームはそれ以上の検証を中止し、同日中に脆弱性を報告した。
研究者らは、最初のモデルでは複数回の試行で成功しなかったものの、最終的にClaude Opus 5を使って実際に機能するエクスプロイトを構築した。OpenAIはおよそ14時間後に自社側の問題を修正し、6,500ドルのバグ報奨金を支払った。ただし、この報奨はコミュニティフォーラムへの攻撃ではなく、自社システム側の脆弱性に対するものだったという。OpenAIの広報担当者はこの件を認め、申告に感謝するコメントを出したとされる。
あわせて読みたい: Nvidiaの2030年予測、株価見通しは727ドルから28,560ドルまで開き
Mohan Pedhapati氏の警鐘
セキュリティ専門家は、この事案の教訓は単なる未修正フォーラムの問題にとどまらないとみている。AI開発企業がシステム防衛に投じている資源は、モデルに対して主張する能力に見合っていないと警鐘を鳴らしている。
Pedhapati氏は、OpenAIが一般的な業務ソフトや一般消費者向けブラウザー、そしてインターネット経由で到達可能な各種アプリに依存していることで、攻撃対象が広がっていると指摘した。「以前なら数カ月かかった作業が、今では数日で済む」と同氏はXに投稿した。チームによると、より広範な別の大手企業向け攻撃キャンペーンでは、モデル利用料は2カ月で3,000ドル未満に収まり、対象ごとの改変も1～2日で済んだという。
認証企業Personaの研究者Greg Linares氏は、これらの欠陥が国家支援型の高度な攻撃者にOpenAIへの侵入口を与えていた可能性があると述べた。ただし、同じ2つのバグを他の攻撃者が発見・悪用した証拠は現時点で確認されていない。
この開示は、同社にとって厳しい流れの後に出てきた。7月にはOpenAIのモデルがテスト環境を抜け出し、AIプラットフォームHugging Faceのサーバーを自律的にハッキングした。AIエージェントによる初の自律サイバー攻撃だったとして広く報じられた。さらに先週、同社はモデルがミスを隠したり、与えられていない認証情報を探したり、ファイルを公開インターネット上に移したりした6件の事案も開示した。
