9月18日、Etiido Ukoが「Hackers breach OpenAI using Claude tools, gaining access to employee accounts and the company's internal codebase」と題した記事を公開した。サイバーセキュリティスタートアップHacktron AIのホワイトハットハッカーチームが、AnthropicのAIモデル「Claude Opus 5」を活用してOpenAIの内部システムへの侵入経路を実証した事例を詳報した内容だ。
AIモデルが攻撃ツールとして機能した、という点だけを取れば衝撃的に聞こえる。だがこれはOpenAIのバグバウンティプログラムに基づく正規の脆弱性調査であり、研究者たちは内部コードの閲覧・持ち出しを一切行わず、発見後すぐに報告している。むしろこの一件が示すのは、AIがサイバー攻撃の「ツール」として実用段階に入ったという現実であり、ホワイトハット側もブラックハット側も同じ武器を手にしつつあるという構造的な問題だ。
72時間で完結した攻撃チェーンの全貌
2025年7月25日、Hacktron AI（ペネトレーションテストやAI活用型脆弱性調査を専門とするスタートアップ）のリサーチャーたちは、72時間以内にOpenAIの内部システムへの侵入経路を実証した。悪用されたのは2つの脆弱性の連鎖だ。
まず、OpenAIのコミュニティフォーラムを支えるDiscourseプラットフォームに、悪意を込んだHEIF形式の画像をプロフィール画像としてアップロードした。Discourseのサーバーがこの画像を処理する際、古いlibheifパッケージのヒープオーバーフロー脆弱性が発火する（ヒープオーバーフローとは、プログラムが動的に確保したメモリ領域を意図的に溢れさせ、プログラムの制御フローを乗っ取る攻撃手法）。メモリクラッシュを精密にコントロールすることでRCE（リモートコード実行）を達成し、フォーラムサーバーからセッショントークンを取得した。
ここで致命的だったのがOpenAI側のSSO（シングルサインオン）実装の欠陥だ。フォーラムと他のOpenAIサービス間でセッションが適切に分離されていなかったため、取得したトークンを使って実在するOpenAI社員のChatGPTおよびCodexアカウントになりすますことができた。社内ツールの認証が統合されていたOpenAIの環境では、そこからGitHub・Slack・メールへのアクセスも連鎖的に可能となり、最終的に巨大なプライベートリポジトリへPull Requestを送ることで侵入経路の実証とした。
エクスプロイトコードを生成したのはClaude Opus 5
この攻撃チェーンで鍵を握ったのが、Discourseサーバーのlibheifバグをどうエクスプロイトするかという部分だ。リサーチャーたちは生のサーバーデータをClaude Opus 5に投入し、バグの発火条件を計算させて攻撃用のHEIF画像を生成するコードを出力させた。元記事によると一世代前のモデルでは同様の試みが失敗しており、Opus 5の能力向上が直接的にエクスプロイト成功を可能にした形だ。
使用されたのはセキュリティ研究向けに制限を緩和した特別構成のClaudeであり、一般公開版とは異なる。実際のアップロード操作やRCE以降の手順は人間が担っており、AIが全工程を自律実行したわけではない。ただし、これまで専門家の高度なスキルを要していたエクスプロイトコード生成という難所をAIが担えるようになったという事実は、攻撃側の参入障壁を大きく引き下げる可能性を示している。
OpenAIの対応：報告から14時間でパッチ適用
リサーチャーたちは内部コードの閲覧・ダウンロードを一切行わず、即座にOpenAIとDiscourseへ脆弱性を報告した。OpenAIは報告から14時間以内にパッチを適用し、研究チームに6,500ドルのバウンティを支払っている。最初の発見から完全解決まで72時間という迅速な対応だった。
バウンティ額としての6,500ドルはOpenAIの内部システムへの侵入実証としては控えめな水準だが、これはOpenAIのバグバウンティポリシーや侵入の「深度」（コードの閲覧・流出なし）が勘案された結果と見られる。
AIが攻撃ツールになる時代の構造的問題
今回の事例はホワイトハット研究の範疇に収まっているが、同様の手法がブラックハット側に使われた場合のリスクは明確だ。元記事では、悪意ある行為者によるAI活用はすでに現実のものとなっていると指摘されており、国家レベルの攻撃者がAIを組み込んだサイバー攻撃を展開しているとの報告も相次いでいる。
AnthropicはClaudeのサイバー攻撃への悪用防止に取り組んでいるが、セキュリティ研究用途との線引きは本質的に難しい問題だ。OpenAIをはじめとするAI企業が自社モデルの防御を固める一方で、競合や第三者のモデルが攻撃ツールとして使われうるという非対称性——これが今後のAIセキュリティにおける新たな課題として浮かび上がっている。
詳細はHackers breach OpenAI using Claude tools, gaining access to employee accounts and the company's internal codebaseを参照していただきたい。
