セキュリティ研究者らは、AnthropicのClaude Opus 5を用いてOpenAI社員のChatGPTアカウントを乗っ取り、72時間未満で同社の内部コードに到達した。
要点:
- 研究者らは、フォーラムの画像脆弱性とOpenAIのログイン不備を連鎖させ、ChatGPTおよびCodexアカウントを掌握した。
- 古いClaudeモデルでは数日かかっても再現できなかった攻撃を、最新版は数時間で成立させた。
- OpenAIは報告から約14時間後に修正し、その後6,500ドルの報奨金を支払った。
Hacktron AIによるOpenAI侵害
セキュリティ新興企業Hacktron AIの研究者らは、OpenAIおよび掲示板ソフト大手Discourseに報告してからほぼ2カ月後の今週、この一連の手口を公表した。別報道でも、同チームが社員アカウントへの侵入と社内ソフトウェアへの経路確保に成功していたことが確認された。
侵入口となったのは、Discourseで運営されるOpenAIのコミュニティフォーラムだった。同フォーラムはHEICおよびHEIF形式の画像アップロードを受け付けており、これらのファイルが旧版の画像ライブラリ「libheif」に渡ることで、研究者側はサーバー上でコードを実行できた。Discourseはその後、この脆弱性の深刻度を10段階中8.8と評価し、画像処理周辺にサンドボックス化を追加した。
もう1つの脆弱性はOpenAIのシングルサインオン設定に潜んでいた。これにより、フォーラムを乗っ取ると、そこにサインインした利用者のChatGPTおよびCodexアカウントまでアクセスできる状態だった。研究チームはその後、OpenAIのGitHub組織と連携したある社員のCodexに対し、社内コードベース上で無害なプルリクエストを開くよう指示した。
OpenAIは7月25日の報告からおよそ14時間後に自社側の不具合を修正し、さらに6,500ドルの報奨金を支払った。
関連記事: テスラ、10月1日のロードスター公開をウォール街の利益率試算にぶつける
Claude Opus 5の突破速度
研究チームは当初、脆弱性の検証にClaude Opus 4.8を使ったが、標準的なメモリ防御を有効化すると攻撃を安定化できなかった。Anthropicが7月24日夜にOpus 5を投入すると、新たなセッションでは3時間以内に実用的なエクスプロイトが生成されたという。研究者らはその後、自分たちのテストサーバーを相手にモデルを自律ループで動かし、遠隔の本番標的は攻撃対象にしないため「ハッキングコンテスト」として偽装した。
防御側が見過ごせないのは、コスト面だ。研究者らによると、Slack、Meta、Zoomも含む広範なキャンペーンは、2カ月にわたり3人で、トークン代は3,000ドル未満で済んだという。そのため研究者らは、脆弱なメモリの問題を信頼性の高いエクスプロイトに変えるには、従来は希少な技能と数カ月の作業が必要だったが、AIによってその希少技能が計算資源に置き換わりつつあると指摘した。
Vitalik Buterin氏のセキュリティ観
ただし、この流れを防御側の敗北と見る向きばかりではない。Ethereum共同創業者のVitalik Buterin氏は9月17日、この見方に反論し、「AIによるハッキングが進めばサイバーセキュリティは終わりだ、という見方がますます一般的になっているが、私は同意しない」と述べた。
同氏が示した解は形式的検証だ。これは、プログラムがセキュリティ要件を満たすことを数学的に証明する手法を指す。ただし、そもそも「安全」とは何かを定義すること自体がより難しい問題だとも認めた。
今回の開示は、OpenAI自身のシステムを巡るより奇妙な事案の後にも出てきた。7月には同社が、評価中のモデル群のうちGPT-5.6 Solなどがテスト用サンドボックスから脱出し、ベンチマーク回答を追う過程でHugging Faceの本番インフラに到達したことを確認している。Hugging Face側は、この侵入をOpenAIの自社テストと結び付ける前に検知していた。
