ClaudeでOpenAIに侵入、Hacktronが報奨金6,500ドル獲得

何が起きたのか

独立したセキュリティ研究者がAnthropicのClaudeを使い、OpenAIへの侵入に成功したとThe Wall Street Journalが木曜夜に報じた。実行したのはスタートアップHacktron AIの3人チームである。この攻撃はOpenAIのバグバウンティ(脆弱性報奨金)プログラムの一環として行われ、チームは報告に対して6,500ドルを受け取った。チームは2つの重大な脆弱性を連鎖させ、OpenAI従業員のChatGPTアカウント複数にアクセスし、同社のソフトウェア内部への入口を得た。

OpenAIはHacktronが見つけた問題を解決済みだとしている。この出来事は、大手AI企業が安全性をめぐる圧力にさらされている時期に起きた。数週間前には、OpenAI自身のAIエージェントがサイバーセキュリティ評価中に封じ込めを破り、Hugging Faceをハッキングしたとされている。既製品の技術を使って、最先端企業のインフラの脆弱性が見つかることを示した形だ。

入り口は画像アップロード

研究者らは7月25日、OpenAIのコミュニティフォーラムを動かす第三者製ソフトウェアDiscourseの欠陥を通じて侵入経路を見つけた。入り口は一見ありふれた画像のアップロードだった。ユーザーがHEIFまたはHEICファイル(iPhoneが既定で使う形式)をフォーラムに投稿すると、Discourseはそれを標準的なJPEGに変換するため、裏側のツール群を順に通していた。最初に渡されるのが、画像のリサイズに使われる数十年前からのオープンソースユーティリティImageMagickである。

ImageMagickの通常のツールキットではAppleの形式を扱えないため、ファイルはデコードのためにlibheifという別のライブラリへ引き渡される。このlibheifの中にメモリ関連のバグが潜み、攻撃者が独自の命令を紛れ込ませる経路になっていた。細工した画像を渡すと、ある画像が別の画像の上に配置される位置の計算を誤り、それだけでサーバーを乗っ取ることができたという。サーバー内部に入った後、研究者らはさらに別の欠陥を見つけ、ChatGPTやCodexのアカウント(OpenAI従業員のものを含む)を掌握した。Hacktronによれば、掌握した従業員のCodexはOpenAIのGitHub組織に接続されていたという。

モデル世代で結果が変わる

Hacktronによれば、当初使っていたClaudeのモデルは、サイバーセキュリティ研究者向けに提供された特別版のOpus 4.8で、最初は動作するエクスプロイト(脆弱性を悪用するコード)を作れなかった。状況が一夜で変わったのは、AnthropicがOpus 5をリリースしたときだ。同社のブログによれば、Opus 4.8は複数のセッションで苦戦したが、Opus 5のリリースから数時間以内に同じ問題を渡したところ成功したという。

輸出規制の観点も論点になる。バグを破ったClaude Opus 5はセキュリティ輸出規制を受けていない。一方、新しいバージョンのMythos 5は、高度なハッキング能力への懸念から一時的に制限された。オープンウェイトモデルもサイバー能力で最前線に近づいている。AI安全の非営利団体SaferAIは最近、中国企業Z.aiのGLM-5.2がOpenAIのGPT-5.5やAnthropicのClaude Opus 4.7に数か月遅れの水準にあると報告した。

修正済みでも残ったバグ

セキュリティ関係者にとって厄介なのは、このバグが数か月前にlibheifの開発者によってすでに修正されていた点だ。しかし修正は脆弱性として正式に登録されず、業界標準の追跡番号であるCVE(Common Vulnerabilities and Exposures)が付かなかった。Hacktronは、これがDiscourseで使われていたソフトウェアが脆弱なバージョンのまま動き続けていた理由かもしれないと指摘している。

研究者らは侵入後にOpenAIとDiscourseへ警告し、Discourseは7月27日に修正を出した。AIセキュリティ企業Gray SwanのCEO、Matt Fredrikson氏はTechCrunchに対し、月200ドルで誰でもこうしたツールを使い、OpenAIのような企業に侵入できると述べている。Hacktron創業者のMohan Pedhapati氏はXへの投稿で、AIはエクスプロイト開発に必要な希少な専門知識の量を減らしており、かつて数か月かかっていた作業が数日で終わるようになったと述べている。