ニュース
ClaudeでOpenAIに侵入、独立研究者3人が72時間未満で実証したAI悪用の手口
生成AIは開発者だけでなく、攻撃者の作業も速く安く済ませる道具になっています。今回、独立系の研究者チームがAnthropicの生成AIを使ってOpenAIのアカウントに侵入した事例は、外部サービス経由の脆弱性がどの企業にも他人事ではないことを示しています。
何が起きたか
独立系セキュリティ企業Hacktronの研究者3人が、Anthropicの生成AI「Claude Opus 4.8」および「Opus 5」を使い、OpenAIの従業員アカウントへの侵入に成功しました。米ウォール・ストリート・ジャーナル(WSJ)によると、侵入にかかった時間は72時間未満だったといいます。
研究者らはこの手口で、OpenAIのアルゴリズムの機密情報を含むとされる社内GitHubリポジトリ「Monorepo」へのアクセス経路を確保しました。Monorepo内部のコード自体には手を付けず、侵入の証拠として、従業員のCodexアカウントからプルリクエストを送信しています。
侵入の起点は、OpenAIのコミュニティフォーラムを運営する外部サービス「Discourse」でした。画像形式HEIFを処理する仕組みの脆弱性を突く手口で、Claude Opus 5が公開された7月24日夜から翌日午前10時までの間に、Discourse Cloud上で遠隔コード実行(RCE)を達成し、OpenAIのインスタンスに侵入したといいます。
Hacktronはこの「HEIF Heist」と呼ぶ手法を、OpenAIのほかSlack、Meta、GitHub Enterprise、Rails、Next.js、ImageMagickなど複数の対象に1、2日で適用し、使用したトークン費用は3000ドル未満だったといいます。把握している限り、この侵入を検知できたのはShopifyのみでした。報告した脆弱性はDiscourseとOpenAI側で修正済みとなっており、OpenAIはバグ発見の報奨金として6500ドルを支払ったといいます。
背景・解説
今回の手口の土台となったのは、脆弱性を突いて標的のシステム上で任意のプログラムを実行させる「遠隔コード実行(RCE)」という攻撃です。攻撃者はこの状態を足がかりに、アカウントの乗っ取りや内部情報への到達を狙います。
Discourseは、企業や開発者コミュニティがオンライン上で議論の場を運営するために使われる第三者製のフォーラムソフトです。OpenAIもコミュニティ運営にこのサービスを利用しており、自社製ではないツールの脆弱性が侵入口になった形になります。
HEIFはスマートフォンなどで使われる画像圧縮形式で、今回はこの画像を処理する仕組みに存在した欠陥が突かれました。Hacktronは発見した脆弱性を対象企業に報告し報奨金を得る、いわゆるバグバウンティの枠組みで活動しており、OpenAIへの報告も同様の形で行われています。
仕事や業務への影響 — AI Topicaの見方
生成AIを使いこなす攻撃者に対しては、自社のセキュリティ対策を外部サービス任せにしている企業ほど弱い立場に置かれます。今回、OpenAIのような大規模な開発体制を持つ企業でさえ、自社製ではないフォーラムソフトの脆弱性から侵入を許しました。企業規模の大小を問わず、自社が直接管理していない外部サービスの脆弱性が侵入口になる構図は変わりません。
例えば、従業員300人規模のIT企業が社内向けに外部製のフォーラムサービスを導入している場合、その運営元のソフトウェアに脆弱性が見つかれば、社内の開発情報や顧客データに到達される経路になり得ます。情報システム担当者が1人しかいない中小企業であれば、外部サービスの脆弱性情報を継続的に追いかける余力はまずありません。
今回の事例が示すのは、攻撃側の作業時間とコストの小ささです。3人の研究者がClaudeとCodexのサブスクリプション費用だけで、複数企業への攻撃手法を1、2日で使い回せています。防御側も同じAIツールを使い、自社が利用する外部サービスの脆弱性診断を定期的に実施する体制を整えるべきです。バグバウンティ制度を持つサービスを優先的に選び、報告された脆弱性が速やかに修正されているかを確認する運用も欠かせません。
不確かな点・注意
今回の経緯はWSJの報道とHacktron側の説明に基づいており、OpenAIやAnthropicが独自に詳細を公表したものではありません。侵入の再現性や、報告された脆弱性の技術的な詳細も明らかにされていません。Hacktronのメンバー自身が「中国の脅威アクターほど強力ではないと思う」と述べているように、国家的な攻撃主体との実力差についても本人たちの見解にとどまっています。企業がこの事例から自社の対策水準を判断する際は、今回の手口がすべての生成AIやフォーラムサービスに当てはまるとは限らない点に注意が必要です。