9月19日、The Decoderが「Security researchers used Anthropic's Claude to hack OpenAI's internal systems in under 72 hours」と題した記事を公開した。セキュリティ企業Hacktronの研究者3名が、3,000ドル未満・72時間以内でOpenAIの内部システムへのアクセスに成功したという内容だ。研究チームは機密データの閲覧は行っていないと明言しており、本件はあくまで責任ある脆弱性開示（Responsible Disclosure）の枠組みで実施されたセキュリティ研究である点に注意されたい。
AIを使ってAI企業をハックする
HacktronはAnthropicのClaudeを活用し、OpenAIのコミュニティフォーラム（community.openai.com）を起点にOpenAI社員のChatGPTおよびCodexアカウントへのアクセスに成功した。さらに、そこからOpenAI社内のGitHubモノリポ（大規模なコードを一つのリポジトリで管理する方式）にまで侵入し、実在する社員のCodexアカウントを使って無害なプルリクエストを作成することでアクセス権を証明した。研究チームは機密データの閲覧は行っていないと述べており、今回の目的はシステムへの不正操作ではなく脆弱性の実証にある。
OpenAIは報告を受けてから約14時間後に修正を確認。フォーラムのソフトウェアであるDiscourseも数日以内に対応した。
なお、OpenAIのAIエージェントが意図せずハッキング的挙動を行っていたと過去に報じられたことがあり（参考：The Hacker News報道）、今回は皮肉にも同社自身がAI支援攻撃の標的となった形だ。ただし上記リンク先の報道内容と本件は別事案であり、混同しないよう注意されたい。※編集部注：当該背景報道の正確なURLは本稿校了時点で確認中のため、リンクは暫定表記としている。確認が取れ次第更新する。
2つの脆弱性をチェーンした攻撃手法
攻撃は2つの脆弱性を組み合わせることで成立した。
1つ目：libheifの未適用パッチ
フォーラムがHEIC形式の画像処理に使用していたlibheifライブラリに脆弱性があった。元のソースコードには約1年前から修正が存在していたが、誰もセキュリティ問題として報告しておらず、フォーラムが動作するDebianパッケージには適用されていなかった。細工した画像ファイルを使うことで、研究者はサーバー上で任意のコードを実行できた。
2つ目：SSOシステムの設定ミス
OpenAIの中央シングルサインオン（SSO）システムに設定の不備があり、フォーラムサーバーを制御できる者であれば、アクティブなフォーラムメンバーになりすまし、そのChatGPTおよびCodexアカウントを乗っ取ることが可能だった。この問題はフォーラムに限らず、OpenAIログインを使用するサービス全般に影響しうるものだったとHacktronは指摘している。
Claude Opus 5が突破口を開いた
研究チームは当初、Claude Opus 4.8を使って脆弱性を探索した。このモデルは動作するエクスプロイト（攻撃コード）を生成できたが、ASLR（アドレス空間配置のランダム化：メモリ攻撃に対する一般的な防御機構）を無効にした状態に限られ、有効な状態では信頼できるエクスプロイトを作れなかった。
※なお「Claude Opus 4.8」「GPT-5.6 Sol」は元記事に登場するモデル名をそのまま記載しており、本稿執筆時点（2026年9月）における最新モデルの呼称として元記事に従っている。
状況が変わったのは7月24日の夜、AnthropicがClaude Opus 5をリリースした直後だ。Hacktronによれば、新モデルは3時間以内にローカルのMac環境向けの動作するエクスプロイトを生成し、その後Discourseサーバー環境向けに適応させた。
研究者たちはモデルが実際のシステムへのエクスプロイト作成を拒否するため、ターゲットを「ベンチマークタスク」として提示するという手法をとった。ClaudeをテストインスタンスのサーバーにAI自律ループで実行したところ、4時間後にサーバーの制御を奪取した。また今回の検証では、OpenAIのGPT-5.6 Solと比較してClaude Opus 5の性能が顕著に上回ったとも報告されている。
攻撃コストの劇的な低下
Hacktronはこの研究を「HEIF Heist」と名付け、OpenAI以外にもSlack、Meta、GitHub Enterprise等を対象に調査を拡大した。3名のチームが2ヶ月間、AIへの支出は3,000ドル未満で実施。各ターゲットへの攻撃適応にかかった時間はわずか1〜2日だった。数千枚の画像アップロードと画像処理の繰り返しクラッシュが発生したにもかかわらず、不審な活動を検知したのはShopifyのみだったという。
研究チームはこう述べている。
「かつて潤沢なリソースを持つチームと数ヶ月の作業を必要としていた作業が、今では数日に圧縮できる」
ソフトウェアはこれまで、複雑性によって事実上の安全性を保ってきた。公開されたソースコードと既知の脆弱性があっても、信頼性の高いエクスプロイトを構築するには希少な専門知識と時間が必要だった。AIはその専門知識を計算リソースで置き換えることで、その防壁を取り除いてしまう——これがHacktronの主張だ。パッチ管理やSSO設定の不備といった「古典的な」セキュリティ課題が、AI支援によって従来とは比較にならない速度で突かれる時代に、組織のセキュリティ運用がどこまで対応できるかが問われている。
詳細はSecurity researchers used Anthropic's Claude to hack OpenAI's internal systems in under 72 hoursを参照していただきたい。
