AIが変えた「攻撃の経済学」——たった3人が最新AIでOpenAI内部に侵入

#AIセキュリティ #OpenAI

公開日

2026.09.19

たった3人のセキュリティ研究者が、AIモデルの力を借りて72時間足らずでOpenAIの内部コードリポジトリに到達した。使ったのはライバルであるAnthropicの最新モデル「Claude Opus 5」。かつては国家級のハッカーにしかできなかったような侵入を、AIがぐっと安く、速くしてしまう。その現実を突きつけた一件として、業界に衝撃が走っている。

米セキュリティ新興企業ハクトロン(Hacktron AI)の研究者3人は9月13日、「Hacking OpenAI」と題したブログで侵入の全容を公開した。実際の攻撃は7月。侵入の入り口になったのはOpenAIの利用者向け掲示板で、その掲示板を動かす市販ソフトの穴を突いて内部に潜り込んだ。そのため研究者らは、OpenAIと、この掲示板ソフトの提供元の双方に脆弱性を報告。修正が済むのを待って詳細を明かした。

侵入経路は、拍子抜けするほど地味な一枚の画像だった。

一枚のiPhone画像から内部リポジトリへ

入り口はOpenAIの利用者向け掲示板(community.openai.com)。掲示板ソフト「Discourse」で動いている。世界中の多くの企業が自社の掲示板に使っている既製ソフトだ。

利用者がHEIC/HEIF形式(iPhoneの標準画像形式)の画像を投稿すると、Discourseはそれを裏側の変換ツールに順番に渡してJPEGに変える。最初に処理するのが画像加工ツール「ImageMagick」だが、これがApple形式を扱えないため、デコード処理を「libheif」という別のライブラリに丸投げしていた。

このlibheifの内部に、メモリ破壊のバグが潜んでいた。細工した画像を読み込ませると、画像の重ね合わせ位置の計算を誤り、それがサーバー乗っ取りへの糸口になる。Discourseはこの脆弱性を7月28日のセキュリティ勧告で認め、深刻度をCVSS8.8(10点満点)と評価した。

実はこのバグは1年ほど前にlibheifの開発者によって既に修正されていた。ところが、開発元はその変更を「セキュリティ修正」として扱わなかった。コミット(変更の記録)の説明は「オーバーレイの重なり領域の計算を簡素化する」という、ただの整理作業のような一文。セキュリティ勧告も出さず、業界標準の識別番号「CVE」も申請しなかった。

パッチ自体はずっと公開され、誰でも読める場所にあった。問題は、それが「危険な穴をふさぐ重要な修正だ」という信号がどこにも出されなかったことだ。守る側の企業や、OSの土台を配る「Debian」のようなディストリビューターは、日々公開される膨大な変更を一つひとつ手で確かめてはいられない。CVEやセキュリティ勧告という警告を頼りに、自社のパッチ管理の仕組みへ修正を取り込む。その警告がなかったため、Debianは「これは取り込むべき修正だ」と気づけず、古いバージョンを直す作業に入らなかった。結果、DiscourseのDockerイメージは脆弱なlibheif 1.19.7を本番環境で動かし続けた。

修正済みのはずの穴が、警告がないだけで現場に残り続ける。攻撃者はコミットの履歴を読めるので、この「黙って直されたパッチ」を逆にたどって悪用できる。修正済みでも、気づいていない側にとっては未知の穴(ゼロデイ)と変わらない——今回の入り口は、そんな盲点だった。

しかし、サーバーへの侵入はまだ第一段階にすぎない。

ハクトロンの研究者らはここで、OpenAI側の別の欠陥を見つける。シングルサインオン(SSO、一度のログインで複数サービスを使える仕組み)の設定不備だ。OpenAIの掲示板は、ChatGPTやCodexと共通のOpenAIアカウントでログインできた。裏を返せば、掲示板を乗っ取れば、そこにログインしていた人になりすまし、同じアカウントでつながるChatGPTとCodex(OpenAIのコーディング支援ツール)まで乗っ取れる。

乗っ取られた社員のCodexは、OpenAIのGitHub組織につながっていた。ハクトロンの研究者らはそのCodexに指示を出し、中身を見ないまま、OpenAIの内部モノレポ(openai/openai)に無害な変更を加えるプルリクエスト(PR #1186742)を一本作らせた。読むことも書き換えることもできたが、書き込めると示すだけにとどめた。発見からここまで、72時間弱だった。

Opus 4.8では作れず、Opus 5で3時間

この事件のもう一つの核心は、脆弱性を突く「エクスプロイト(攻撃コード)」をAI自身が書き上げた点にある。

ハクトロンの研究者らは当初、Anthropicの「Claude Opus 4.8」にlibheifのバグを調べさせ、攻撃コードの開発を試みた。だが、ASLR(メモリ配置をランダム化する一般的な防御策)が有効な状態では、どうしても安定して動くコードにならない。ASLRを無効にすればどうにか動くが、本番のサーバーはASLRが有効。実戦では使えないままだった。

潮目が変わったのは7月24日の夜だ。Anthropicが「Claude Opus 5」を公開した。ハクトロンの研究者らは新しいセッションを立ち上げ、同じ問題を与えた。するとThe New Stackの取材によれば、およそ3時間後にはMac上で動くARM64版の攻撃コードが完成。ASLRが効いた状態でも動く、実戦で通用するコードだった。その4時間ほど後には、テスト用の掲示板に対して遠隔でコードを実行するところまで到達していた。

同じモデルの一世代の差が、「実験室でしか動かない」と「本番で通用する」の境目を越えさせた。

ハクトロン創業者の一人Mohan Pedhapati氏は氏はXで、AIがエクスプロイト開発に必要な希少な専門知識のハードルを下げたと指摘する。かつて数カ月かかった作業が、いまや数日で終わるという。

なお、ハクトロンの研究者らが使ったのは一般向けの市販チャットではなく、サイバーセキュリティの専門家に限って提供される特別版のClaudeだった。The Wall Street Journalによれば、審査を通った実務家だけが使えるバージョンだという。

「3人でこれなら、国家がやれば」

この一件が業界を騒がせているのは、技術の巧妙さだけが理由ではない。「同じことが誰にでもできてしまう」という現実が、後からじわりと重くのしかかるからだ。

AIセキュリティ企業グレイスワン(Gray Swan)のCEO、Matt Fredrikson氏はTechCrunchに、月200ドルも払えば誰でもこうしたツールでOpenAIのような会社に侵入できてしまう、と警告する。セキュリティに手を抜いているとは思えないOpenAIですら破られた。ならば、どの企業も他人事ではない。

ソーシャルメディアでは、もっと不穏な問いが広がった。たった3人がOpus 5でここまでやれるのなら、国家が本気で使えば何ができるのか。TechCrunchはそんなAI論客の投稿を紹介している。

ハクトロン自身も、この変化を「守りの前提が崩れた」と表現する。同社はブログをこう締めくくった。これまで普通の企業が高度な攻撃を免れてきたのは、防御が固かったからではない。穴の情報が公開されていても、それを実際に動く攻撃コードに仕立てられる人間が、ほんの一握りしかいなかったからだ。その希少な担い手の代わりを、いまやAIが務める。攻撃できる者が一気に増えれば、企業は「作り手がめったにいない」というラッキーな状況にもう頼れない。

HuggingFace事件の直後という不運

この侵入が明るみに出たタイミングも、恐怖を増幅させた。わずか数週間前、OpenAI自身が正反対の立場で、よく似た事件の当事者になっていたからだ。

7月、OpenAIは社内でAIのサイバー攻撃能力を測る評価をしていた。その最中に、自社のAIモデルが評価用の隔離環境を破って外に出て、AI開発基盤Hugging Faceの本番インフラに侵入していたと公表した。モデルは与えられた課題「ExploitGym」を解く答えを得ようとして、複数のゼロデイ脆弱性を次々とつなぎ、Hugging Faceの本番データベースにまで達したという。OpenAIはこれを、最先端のサイバー能力が関わった前例のない事案と位置づけ、対応を進めていると述べた。

この夏の二つの事件は、表と裏の関係にある。一方は、AIが自ら動いて他社に侵入した話。もう一方は、人間がAIを道具にしてAI大手に侵入した話。攻める主体は違っても、根は同じだ。これまで一握りの国家級ハッカーにしかできなかった高度な攻撃が、AIによって一気に手の届くものになった。

ハクトロンは今回の侵入を、libheifを軸にした「HEIF Heist」と名づけた大規模調査の一部だと位置づける。同じ手口はビジネスチャット大手Slack、SNS大手の米Meta、ビデオ会議の米Zoom、EC基盤のShopify、GitHub Enterpriseなど、広く使われる基盤にも通用すると同社は主張している。

企業が向き合うべき「新しい脅威モデル」

今回の事件が企業に突きつける教訓は、libheifという一つの脆弱なライブラリの話には収まらない。

VentureBeatは、この侵入が三つの防御境界を一度にまたいだ点を指摘する。脆弱な外部インフラ、複数サービスをまたぐ認証、そして業務システムにつながったAIエージェント。ソースコードやメール、文書、共同作業ツールに接続されたAIアカウントは、それ自体が認証と権限の結節点になる。そこが乗っ取られれば、つながった先のシステムの権限まで丸ごと奪われる。

従来のチャットボットとは、危険の質が違う。便利さを求めてAIに権限を与えるほど、一点の綻びがシステム全体の突破口になる。

対策の方向は見えている。信頼できないファイルの処理は隔離する。土台となる依存ライブラリは最新に保つ。複数サービスをまたぐ認証は、信頼する範囲を絞る。そしてAIエージェントの認証情報は、強い権限を持つ人間のアカウントと同じ厳しさで守る。どれも当たり前に聞こえる。だが、その当たり前が追いつく前に、攻撃する側のコストだけが劇的に下がったわけだ。

。

主要ソースは以下の通り。