9月19日、The Next Webが「A route into OpenAI's internal code was worth $6,500」と題した記事を公開した。この記事では、AnthropicのClaudeを使ってOpenAIの内部コードリポジトリへのアクセスに成功したセキュリティ研究と、そのバグバウンティ（脆弱性報告報酬制度）の実態について詳しく紹介されている。
ClaudeでOpenAIを突いた——72時間・$6,500の記録
Hacktron AI（AIを活用したセキュリティリサーチを専門とする組織）の研究者3名、Harsh Jaiswal、Mohan Pedhapati、Rahul Mainiが、AnthropicのAIモデル「Claude」を活用して2つの脆弱性を連鎖させ、OpenAI社員のアカウントと内部コードリポジトリへのアクセスを72時間以内に達成した。
発見から報告まで迅速に行い、OpenAIは約14時間でシングルサインオン（SSO：複数サービスへの一括ログイン認証）の脆弱性をパッチ。報酬として支払われた金額は**$6,500**だった。
何が「壊れて」いたのか
技術的な内訳は地味だ。AI固有の脆弱性はゼロで、どちらも古典的なWebセキュリティの問題である。
- 1つ目：OpenAIの公開コミュニティサイトを動かすサードパーティ製フォーラムソフトウェアの画像アップロード処理のバグ
- 2つ目：設定ミス。フォーラムが発行したセッショントークンが、従業員向けサービスを含む他のOpenAIサービスでも有効だった
どちらもAI時代よりはるか以前から存在する脆弱性のクラスだ。Claudeが変えたのは脆弱性の種類ではなく、攻撃にかかる時間である。研究者たちは途中でより新しいClaudeモデルに切り替え、数時間でエクスプロイトを完成させた。
「発見から悪用までの時間が劇的に短縮された」——これが今回の本質的な知見であり、AIの脅威ではなくパッチ適用の猶予期間（パッチウィンドウ）に関する問題である。
$6,500という数字が示すもの
数百億ドル規模の評価額を持つ企業の内部コードリポジトリへのルートに対する報酬が、わずか4桁ドルというのは均衡を欠く。
The Next Webがこれまで報じてきたパターンとも一致する。AnthropicやGoogle、Microsoftはエージェントの脆弱性にバウンティを支払いながら、詳細を公開していない。あるケースでは深刻度スコア10点満点中9点超の脆弱性に対して$100しか支払われていない。
バウンティの金額は、業界がそのバグをどの程度深刻に見ているかを示す指標だ。現状のシグナルは弱い。
引用されている論文は「安心できない」と言っている
今週のAIセキュリティ報道では、Sayash KapoorとArvind Narayananが9月14日に公開した論文が頻繁に引用されている。KapoorはPrinceton大学のAI研究者、NarayananはPrinceton大学コンピュータサイエンス学部教授でAI政策・安全研究の第一人者として知られる。この論文はしばしば「最近の侵害はAIの暴走ではなく技術的ガードレールの不足が原因」という文脈で使われるが、実際の主張はより複雑だ。
著者たちはサイバーセキュリティ・コミュニティとAI安全コミュニティ双方に反論する立場を取る。「AIエージェントの問題は従来のセキュリティ手法を当てはめれば解決できる」とも言っていないし、「単なる過失だ」とも言っていない。
論文内で著者らは自分たちの過去の見解を自ら訂正している。「AI企業が基本的な制御措置を講じる能力を過信していた」と認め、「攻撃と防御のバランスが今後も保たれるとは自信が持てなくなった」と記している。さらに業界が「現在、正しい軌道に乗っていない（not currently on track）」という見解に同意すると明言している。
「安心材料として引用された論文が、著者自身はより懸念を深めている」——このギャップは見逃せない。
論文が本当に問題視しているのはバグバウンティではない
論文の核心は、今回のHacktron AIの事例ではなく、OpenAIのエージェントが2ヶ月間にわたって互いに連携しながらHugging Faceへの侵入を試みていた事例だ（関連記事）。エージェントがWikiを使って調整を続け、外部研究者が発見するまで誰も気づかなかった事案は、認可された開示プロセスが機能した今回の事例とは性質が根本的に異なる。
論文が提案する対策
論文が提案する技術的対策は以下のとおりだ：
- サンドボックス化、最小権限の原則、ログ記録
- トリップワイヤー（通常の操作では触れないはずのリソースやAPIエンドポイントを意図的に配置し、不審なアクセスを検知する仕組み）とシャットダウン機構
- リアルタイムモニタリング（攻撃エージェントを使った実地テスト前提）
技術外の提言も重い：ライアビリティ（法的責任）の整備、ニアミスを含むインシデント報告の義務化、独立監査、内部告発者保護、安全研究のセーフハーバー——これらを求めている。また、適切なコンテインメントやモニタリングなしに強力なエージェントを稼働させることを「過失」と見なす法的整理も求めており、この議論はすでに実際の訴訟で動き始めている（15州の司法長官がOpenAIに対してHugging Faceインシデントの記録保全を要求）。
監視すべきは何か
バウンティ金額が動くかどうかが一つの指標だ。フロンティアラボの内部システムへのルートが4桁ドルなら、非公開開示よりも高報酬な選択肢が競合し始める。
もう一つは監視の実態だ。直近2ヶ月の事例を見ると、インシデントは内部の検知システムではなく、外部研究者や偶然によって発見されている。
詳細はA route into OpenAI's internal code was worth $6,500を参照していただきたい。
