研究者ら、Claudeの支援で72時間以内にOpenAI関連アカウントへ到達したと主張

はじめに

AIは、脆弱性を探し、検証し、別の環境へ適応するまでの時間を短縮しつつあります。The VergeがThe Wall Street Journalの報道として伝えた内容によると、独立系セキュリティ研究チームHacktronの3人は、AnthropicのClaude Opus 4.8および5と、OpenAIのCodexを使い、72時間以内にOpenAI従業員に関連するアカウントへ到達したと主張しています。ここで重要なのは、モデルが単独でOpenAIを「ハッキングした」ということではありません。人間の研究者が攻撃の方針を決め、AIが分析やコード修正、対象環境への適応を加速した点です。

主なポイント

• Hacktronは、OpenAIのコミュニティフォーラムを運営する第三者サービスDiscourseを起点にしました。チームによると、HEIF画像の処理方法にある問題を悪用し、Discourse Cloud上でリモートコード実行を実現しました。
• 研究者らは、Claude Opus 5が7月24日夜に公開された後、翌日の午前10時までにDiscourseの対象インスタンスへ到達したと説明しています。
• その後、OpenAIのGitHub環境に入り、「Monorepo」と呼ばれるリポジトリへのアクセス経路を得たとされています。このリポジトリにはOpenAIのアルゴリズム上の機密が含まれると報じられていますが、Hacktronは内部コードを読み取っていないと説明しています。代わりに、従業員のCodexアカウントからプルリクエストを送信し、アクセスを証明しました。
• Hacktronは「HEIF Heist」と名付けたプロジェクトを、OpenAI、Slack、Meta、GitHub Enterprise、Rails、Next.js、ImageMagickなどに適応するのに1〜2日しかかからず、モデルのトークン利用費は3000ドル未満だったとしています。把握している範囲では、活動を検知した対象はShopifyだけだったとも述べています。
• DiscourseとOpenAIに報告された脆弱性はすでに修正され、OpenAIは報告に対して6500ドルを支払ったとHacktronは説明しています。

意味と影響

この事例は、AIコーディングアシスタントが攻撃研究の反復作業を圧縮できることを示しています。従来なら、画像処理の流れを読み、異常な入力を作り、検証コードを修正し、対象ごとに動作を調整する必要がありました。モデルは、未知のコードの説明、失敗箇所の推測、コードの変種生成、環境差分への対応を支援できます。最終的な判断や検証は人間に残っていても、試行錯誤の速度は上がります。

同時に、能力の拡散も問題になります。HacktronのCTOは、自分たちは「ClaudeとCodexのサブスクリプションを持つ3人にすぎない」と表現し、より高度な脅威アクターほどの能力はないと述べました。これは研究チーム自身の説明であり、独立した性能評価ではありません。しかし、高性能モデルによる支援が通常のサブスクリプションで利用できるなら、攻撃準備の能力が大規模組織以外にも広がる可能性を示しています。

ただし、公開された情報には限界があります。詳細の中心はHacktronの説明とThe Wall Street Journalの報道であり、研究者がMonorepoの内部コードを読んだことや、Claudeが攻撃を自律的に完遂したことを示すものではありません。より正確には、人間が対象を選び、作業を指示し、結果を確認し、モデルが分析と反復を速めた事例と見るべきです。

企業側には、第三者サービス、画像処理コンポーネント、従業員の認証情報が一つの攻撃経路になり得るという教訓があります。迅速な修正、サービスアカウントの権限最小化、不審なプルリクエストの監視、AIを使った自動テストの監査が、境界防御と同じように重要になります。

出典：The Verge AI