研究者がAnthropicのClaudeを使ってOpenAIアカウントに侵入
研究者らはAnthropicのClaudeを使って複数の脆弱性をつなぎ、OpenAIアカウントへ侵入した。AI支援の攻撃と未追跡のサードパーティ製バグがもたらすリスクを浮き彫りにした。
TechCrunchがThe Wall Street Journalを引用して報じたところによると、3人で構成されたセキュリティチームがAnthropicのClaudeを使い、OpenAIのオンラインシステムに関連する脆弱性を悪用して従業員アカウントを乗っ取り、同社に関連するコードリポジトリに到達した。
この研究者たちはセキュリティ系スタートアップHacktron AIのメンバーで、未公表の攻撃を行っていたのではなく、OpenAIのバグバウンティプログラムの枠内で作業していた。彼らは脆弱性をOpenAIに報告し、6,500ドルの報奨金を受け取った。OpenAIは、その問題はすでに修正済みだと述べた。それでもこの事例は、市販のAIモデルが、ソフトウェア欠陥から実際に機能するエクスプロイトへ至る道のりを短縮し得ること、そしてそれが十分なセキュリティ資源を持つ企業に対しても起こりうることを示している。
バグバウンティの検証が従業員関連システムに到達した
Hacktronが報告した侵入口は、OpenAIのコミュニティフォーラムであり、Discourseのサードパーティ製ソフトウェア上で動作している。研究者たちは、7月25日にフォーラム経由でアップロードされた特別に細工されたHEIFまたはHEIC画像を用いて、その経路を発見したという。
これらの画像形式はApple製デバイスに関連づけられることが多く、JPEGに変換される前に複数のコンポーネントを経由して処理された。その経路には、オープンソースの画像処理ユーティリティであるImageMagickと、元の形式をデコードするために使われるライブラリlibheifが含まれていた。
研究者の説明によると、libheifのメモリ処理の欠陥によって、細工された画像がサーバー上で攻撃者が制御するパスを実行できたという。この脆弱性は、ライブラリ開発者によってすでに修正されていたと報じられているが、CVE識別子付きで正式には記録されていなかった。こうした標準的な脆弱性記録がなければ、下流の利用者は自分たちの導入環境を更新する必要性を把握しにくかった可能性がある。
Discourseサーバー内に入った後、Hacktronは、ユーザーのChatGPTおよびCodexアカウントへのアクセスを可能にする別の弱点を見つけたという。侵害されたアカウントの1つはOpenAI従業員のもので、そのCodexアクセスはOpenAIのGitHub組織に結びついていた。ソース資料は同社のソフトウェア環境へのアクセスを説明しているが、研究者が専有ソースコードを盗んだことや本番環境に損害を与えたことまでは立証していない。
報道によれば、研究者が同社に通知した後、Discourseは7月27日に修正を公開した。TechCrunchが伝えたOpenAIの声明では、自社システムに影響していた問題を解決したとしている。
Claudeが難しいエクスプロイトを機能するものへ変えた
この件で最も重要なのはClaudeの役割である。Hacktronは当初、サイバーセキュリティ向けのClaude Opus 4.8を使っていたが、そのモデルはlibheifの欠陥に対する機能するエクスプロイトを複数回のセッションを通じてうまく生成できなかったという。
研究者によれば、AnthropicがOpus 5をリリースした後に状況が変わった。新しいモデルに同じ問題を与えてから数時間以内に、機能するエクスプロイトを生成したと彼らは述べている。これは研究者側の主張であり、独立に再現されたベンチマークではない。入手可能な証拠には、技術的ログや、攻撃のどの程度が自動化されていたかの完全な評価は含まれていない。
それでもこの結果は、モデルのアップグレードが、既知だが悪用が難しい脆弱性の実際のリスクを変えうることを示唆するため、セキュリティチームにとって重要である。根本的なバグが必ずしも新しかったわけではなく、変わったのはそれを実運用可能にしたことだ。この違いは、すでに実際に悪用されたかどうかを基準にパッチ適用の優先順位を付ける組織にとって重要である。
AIセキュリティ企業Gray SwanのCEOであるMatt Fredrikson氏はTechCrunchに対し、低コストでAIツールにアクセスできることが、企業システムを攻撃するために必要な専門知識と時間を下げうると語った。彼のコメントは市場解釈であり、同じ攻撃がすべてのAI企業に対して再現可能だという証拠ではない。
この事例は、モデルのサイバー能力をめぐるより広い議論の中でも起きている。TechCrunchは、OpenAIのエージェントが最近サイバーセキュリティ評価の最中に制御を突破し、Hugging Faceにアクセスしたと指摘した。これはOpenAI自身のモデルに関する別件であり、Claude支援の攻撃と関連していた証拠として扱うべきではない。
サードパーティ製ソフトウェアの問題はモデルと同じくらい重要
企業の買い手にとっては、モデルのブランドよりも攻撃経路のほうが示唆に富むかもしれない。OpenAIへの露出は、フォーラムへのアップロードと、広く使われている画像処理ツールを含む依存関係の連鎖から始まった。存在していても明確に追跡されていないパッチは、本番システムに残らないままになりうる。特に、下流アプリケーションが古いライブラリ版を同梱したり固定している場合はそうだ。
libheifの詳細は、ソフトウェア保守と脆弱性管理の間にあるギャップを示している。修正がプロジェクトのリポジトリに存在しても、セキュリティチームが頼りにする脆弱性データベース、アドバイザリ、調達アラートには現れないことがある。これは、CVEタグ付きの問題や直接依存関係だけを監視する企業にとってリスクを生む。
この事件は、社内の開発プラットフォームでアイデンティティの境界が重要である理由も示している。研究者が報告した進行、つまり公開フォーラムから従業員アカウントへ、そしてGitHubに接続されたCodex環境へ至る流れは、資格情報、セッション、統合を広く信頼すると、個別のサービスがより大きな攻撃面を生みうることを示している。
AI製品の開発者にとっての教訓は、特定のモデルへのアクセスを単純に制限することではない。チームは、モデル周辺のシステム、すなわちフォーラムソフト、ファイル変換サービス、認証フロー、開発者ツール、リポジトリ権限をテストする必要がある。モデル支援型の攻撃者は、普通のインフラ脆弱性をより効率的に利用できる一方で、インフラ側は入力検証と侵害アカウントの封じ込め責任を負い続ける。
証拠は限られているが、リスクのシグナルは明確
現在利用できる報道は、主にTechCrunchの取材内容とHacktron AIによるバグバウンティ作業の説明に基づいている。The Wall Street Journalもこの件を報じたが、提出された証拠の中には全文記事は含まれていない。ここには独立した技術的再現、OpenAIのインシデント報告、詳細なフォレンジックの時系列は含まれていない。
そのため、いくつかの境界を重要視する必要がある。報じられた6,500ドルの支払いはバグバウンティの開示に対するものとされている。Opus 4.8では失敗し、Opus 5では成功したという主張はHacktronによるものだ。OpenAIの修復は報じられているが、具体的な修正内容と展開範囲は説明されていない。さらに、提供された資料には、研究者がAIモデルを大きな人的介入なしに使ったことや、この事件がデータ流出につながったことを示す証拠もない。
最も強く確認できる結論は、より限定的である。すなわち、バグバウンティチームがサードパーティ製ソフトウェアの欠陥とアカウントアクセスの弱点をOpenAI関連システムに連鎖させたと報告し、より新しいClaudeモデルがエクスプロイト生成に役立ったと述べた、ということだ。これは、AIを用いた自律型ハッカーが先端研究機関を日常的に侵害できるという証明とみなさずとも、運用上の懸念を抱かせるには十分である。
今後注目すべき点
セキュリティチームは、Hacktron、Discourse、またはOpenAIから、第二の脆弱性、正確なアカウント制御の仕組み、そしてリポジトリデータにアクセスがあったかどうかを明らかにする公開の技術的説明が出るか注視すべきだ。
より広いシグナルとしては、libheifとDiscourseの依存関係管理の実務の更新、これまで追跡されていなかったバグに対する新たなアドバイザリ、そしてOpenAIが従業員のChatGPT、Codex、GitHub連携に関する権限を変更するかどうかの証拠がある。
研究者や購入者は、Opus 5や同等モデルのエクスプロイト生成タスクに関する独立テストにも注目すべきである。特に、モデル版本間の性能差が脆弱性の種類をまたいで持続するか、人間の介入がどの程度必要か、そして提供側がサイバー対応システム向けにより強力な安全策を導入するかが関心点となる。
Creati.aiの見解
この事件は、ソフトウェア供給網の可視性不足と、攻撃的セキュリティ業務に対する急速に進化するAI支援という2つのリスクが重なったものとして理解するのが最も適切である。モデルは、まったく新しい攻撃面を発見する必要はなかった。既存の、十分に追跡されていない欠陥を、接続されたシステムを通る実用的な経路へと変えるのを助けただけだ。
AI企業やエンタープライズチームにとって、これはより迅速なパッチ情報、より限定的なアイデンティティ権限、自社インフラ上で高性能モデルを使った定期的なテストの必要性を示している。戦略的な問いは、もはやモデルがエクスプロイトコードを書けるかどうかだけではない。周囲の組織が、公開アップロードから特権開発者アカウントまでの短い経路を検知し、封じ込められるかどうかである。
