Hacktron、Claude OpusでOpenAI侵入 72時間で従業員アカウント侵害

72時間以内にOpenAIへ侵入

セキュリティ研究組織Hacktronの3人チームが、AnthropicのClaude Opus 4.8と5を使ってOpenAIの従業員アカウントへの侵入に成功したと、The Wall Street Journalが報じました。所要時間は72時間未満だったとされています。同チームはOpenAIのGitHubリポジトリ「Monorepo」へのアクセス権を得たとし、内部コードそのものには踏み込まなかったものの、従業員のCodexアカウントからプルリクエストを送ることでアクセスできたことを示したとされています。

侵入口は、OpenAIのコミュニティフォーラムをホストするサードパーティ製サービス「Discourse」でした。DiscourseがHEIF形式の画像を処理する仕組みの不具合が悪用されたとされています。Hacktronによれば、Claude Opus 5が7月24日の夜に公開され、その翌朝10時までにDiscourse Cloud上でRCE(遠隔コード実行)を達成し、OpenAIのインスタンスに到達したとのことです。

少人数と低コストで到達

注目点は、高度な侵入作業の多くをAIモデルが担ったとされることです。HacktronのCTO、Mohan Pedhapati氏は、自分たちは中国の脅威アクターほど強いわけではなく、ClaudeとCodexのサブスクリプションを持った3人にすぎないという趣旨の説明をしています。専門的な攻撃チームではなく、少人数とAIツールの組み合わせでここまでの到達が可能だった点が、従来との違いとして挙げられます。

コストの低さも特徴です。「HEIF Heist」と名付けたこのプロジェクトは、OpenAIを含む複数の対象に合わせて適応させるのに1〜2日しかかからず、使ったトークンは3,000ドル未満だったとされています。適応先としてSlack、Meta、GitHub Ent、Rails、Next.js、ImageMagickなどが挙げられています。検出されたのはShopifyの1社だけだったとHacktronは述べています。

修正済みで報奨金6,500ドル

HacktronがDiscourseとOpenAIに報告した脆弱性は、すでに修正されています。OpenAIは発見に対して6,500ドルを支払ったとHacktronは述べており、一般的なバグバウンティ(脆弱性報奨金)の枠組みで処理された形です。攻撃そのものはこの報奨金制度を通じた報告として行われています。

ただし、Monorepoに「OpenAIのアルゴリズム上の秘密」が含まれるという説明はWSJの情報筋によるもので、その内容の詳細は公表されていません。研究者らが実際に内部コードを閲覧したかどうかも明らかになっていません。

自己申告に依存する情報

今回の内容は、Hacktron側の説明とWSJの報道に基づくものです。攻撃の再現手順やログが公開されているわけではなく、到達範囲の全体像が第三者に検証されたとも書かれていません。

また、Claude Opus 4.8と5がどの工程でどのように使われたのか、モデル側の安全機構をどう扱ったのかは説明されていません。AIが脆弱性の発見そのものに寄与したのか、既知の脆弱性の悪用を効率化しただけなのかは、現時点の情報では区別できません。