OpenAI、Claudeモデルに「ハッキング」された！
3人だけのセキュリティチームがClaudeを用いて、72時間以内にOpenAI従業員のChatGPTアカウントを攻撃し、OpenAIの内部非公開コードリポジトリへのアクセス権を獲得した。
そして彼らが支払ったのは、たった数十ドルのOpus 5サブスクリプション料金だけです。
これはまた、壮大なシステム脆弱性の事例です。
魔法で魔法に勝つとは、あまりにドラマチックだ
これはあまりにもブラックユーモアだ。
不久前、スタートアップのセキュリティチームであるHacktron AIが、OpenAIのバグバウンティプログラムに参加しました。
彼らが使用した最終兵器は、Anthropicが最新リリースしたOpus 5である。
誰もが、成功がこれほど簡単だとは思わなかった。
この3人チームは、护栏のないOpus 5を活用し、OpenAIの社員のChatGPTおよびCodexアカウントの制御権を獲得しました！
その後、彼らは堂々とOpenAIの最も核心的な機密領域、すなわち核心アルゴリズムと独自コードを含む内部モノリシックリポジトリに侵入した。
チームは、ここに来たことを証明するために、挑発的な行動を取った。
彼らはOpenAIの従業員のCodexアカウントを使用して、内部コードリポジトリに無害なPRを提出しました。
報告を受け、OpenAIのセキュリティチームは冷や汗をかき、14時間以内にこの脆弱性を緊急修正し、3人チームに6,500ドルの報奨金を支払った。
ニュースが広まると、業界は衝撃を受けた。「あり得ない！OpenAIの本拠地が競合に突撃された！」
誰かが灵魂の問いを投げかけた：「3人の一般ユーザーとClaudeのサブスクリプション1つでこのレベルに到達できるなら、国家機関のハッカーがAIを手にしたら何ができるのだろう？」
9ステップで浸透し、一撃で仕留める
この72時間未満の急襲では、チームの攻撃チェーンが芸術的だった。
彼らは力ずくで突破するのではなく、最も忍耐強い猟師のように、外縁の最も目立たない隅から一歩ずつ核心に近づいていった。
この攻撃チェーンは、以下の9つの致命的な工程に分解できます。
アキレスの踵を探せ（コミュニティフォーラム）
OpenAIのセキュリティ防御は堅固で、コアサーバーへの直接攻撃はほぼ不可能です。
しかし、Hacktronチームは、OpenAIがユーザーとのやり取りに使用するコミュニティフォーラム（community.openai.com）に突破口を見出した。
このフォーラムはオープンソースソフトウェアのDiscourseに基づいて構築されており、「OpenAIアカウントによるシングルサインオン（SSO）」を許可しています。
隠された時限爆弾（libheif脆弱性）
フォーラムの画像アップロード機能を分析している際、彼らは極めてマイナーだが致命的な欠陥を発見した。
通常、フォーラムはFastImageを使用して画像をチェックしますが、Appleが一般的に使用するHEIF/HEIC形式の画像はサポートされていません。そのため、システムはこれらの画像をImageMagickに渡し、底层のlibheif画像デコーダーを呼び出します。
致命なことに、Debian 12イメージに基づくこのシステムにインストールされたlibheifバージョン（1.19.7）には、ヒープバッファオーバーフローの脆弱性が含まれています。
AIのガードを欺き、神兵を鍛える
Hacktronチームは自ら脆弱性の利用コードを手書きせず、Claude Opus 5を使用した。
彼らは、Opus 5の「真のターゲットに対する攻撃コードの作成を拒否する」セキュリティガードを回避するために、自らのテストサーバーをCTF（奪旗戦）のターゲットドメイン（rce.ee/ctf-forum）に偽装するという手口を使った。
自分はゲームをしていると思っていたOpus 5が、本気を出し始めた。
「毒画像」をアップロードして制御権を奪取（RCE）
彼らはフォーラムに精心されたHEIF悪意のある画像をアップロードしました。画像がバックグラウンドで解析された瞬間にバッファオーバーフローの脆弱性が発動し、HacktronチームはOpenAIコミュニティフォーラム環境でのリモートコード実行権限を獲得しました。
致命的な認証の脆弱性（SSO）
フォーラムがハッキングされたのは最初のステップに過ぎません。OpenAI SSO（シングルサインオン）の認証設定に欠陥があるため、このフォーラムにログインしたすべてのユーザーの認証トークンが盗まれる可能性があります。
内部従業員のChatGPT/Codexアカウントを乗っ取る
上記のSSO脆弱性を通じて、チームは複数のOpenAI従業員のChatGPTおよびCodexアカウントを乗っ取りました。
手がかりをたどって、本拠地を突き止める
OpenAIの従業員は、CodexをGitHub、Slack、Outlookなどの内部オフィスおよび開発ツールと深く統合することが一般的です。
内部コードリポジトリへの侵入
乗っ取られた従業員アカウントを通じて、HacktronチームはOpenAIのコアモノリスリポジトリへのアクセス権を獲得しました。
印を残し、功績を隠す
PR #1186742を提出した後、すべてのテストを停止し、OpenAIに脆弱性報告を提出してください。
普通のHEIC画像からOpenAIの内部核心機密データベースまで、この信じがたい道筋がOpus 5によって打通された。
息をのむ進化：Opus 4.8からOpus 5へ
この脆弱性自体が十分に洗練されているならば、この攻撃に見られるAIの進化速度は、すべてのサイバーセキュリティ従事者を恐怖に陥れた。
攻撃が発生する2日前の今年7月23日、Hacktronチームはすでにこの脆弱性を発見していた。
当時、彼らはAnthropicの前世代モデルであるClaude Opus 4.8を使用していました。
ASLRが有効なデフォルトの防御環境では、Opus 4.8はやや厳しい状況です。
ASLR（Address Space Layout Randomization、アドレス空間レイアウトランダマイゼーション）は、プロセスのロード時に重要なメモリ領域のアドレスをランダムに配置することで、システムのセキュリティを効果的に強化する仕組みです。
チームは複数のセッションを試しましたが、Opus 4.8は安定した脆弱性の利用コードを生成できませんでした。
転換点は7月24日の夜に訪れた——Anthropicが正式にClaude Opus 5をリリースした。
新しい武器を手にしたHacktronチームは、直ちに新しいOpus 5セッションを開始した。
奇跡が起きた：最初の3時間以内に、Opus 5はローカルMac用のARM64アーキテクチャ向け攻撃コードを成功裏に作成した。
その後、チームはそのコードをDiscourseフォーラムで使用されるx86-64環境とjemallocメモリアロケーターに移植するよう要求した。
たった一晩後、7月25日午前6時、Opus 5は画像アップロードによるローカルRCEの有効性を確認した。
午前10時までに、自律循環目標として設定されたOpus 5エージェントは、クラウドインスタンスを突破し、システムの底层ファイルを読み取った。
旧モデルでは見つけられなかった脆弱性を、新モデルは公開翌日に即座に解読し自動的に活用！
厳しい事実ですが、AIモデルの能力の飛躍的向上により、ハッキングの障壁が指数関数的に低下しています。
その後の広範なテストで、チームは、更新されたGPT-5.6 Solモデルを使用すると、AIが「ターゲットシステムについて一切知らず、脆弱性の存在のみを認識する」という極端な盲目的な状況下でも、メモリリーク、権限昇格、横断移動、既存の防御の回避を一連の自動処理として実行できることを発見した。
この能力は、かつては最高レベルの国家級ハッカーにのみ属していた。
HEIF大事件：インターネット全体が裸になっている？
OpenAIだけが倒霉だと思っている？大間違いだ。
Hacktronチームはこの発見を「HEIF大強盗」と名付けました。
この脆弱性の恐ろしい点は、それがOpenAIに特有の問題ではなく、インターネット基盤全体のオープンソース依存症であることです。
私たちは毎日インターネットに画像をアップロードしていますが、HEIC/HEIF/AVIF画像を解析するためのオープンソースライブラリであるlibheifは、数多くの国民的アプリケーションに広く埋め込まれています。
さらに驚くべきことに、この脆弱性に関するコードの修正は、すでに昨年オープンソースコミュニティでブランチとして修正されていたが、セキュリティパッチラベル（CVE番号が割り当てられていない）が付けられていなかったため、下游の無数のオペレーティングシステムやソフトウェアがこの事実を知らなかった！
その後数ヶ月にわたる調査で、HacktronチームはAIを自動化ハッカーとして利用し、インターネット大手を「大掃除」した。
彼らは発見した：Slack、Zoom、Meta、GitHub……これらの有名なテクノロジー大手は、画像アップロードを許可している限り、ほぼすべてが脆弱である！
Ruby on Railsや、Node.jsエコシステム内のNext.js、Astro、Gatsbyなどの人気フレームワークに関わらず、このライブラリを呼び出せば、ほぼ自由に操作されてしまう。
コストはさらに驚異的に低いです。
Hacktronチームは、「HEIF大強盗」研究プロジェクト全体に2か月を要し、上記のすべての巨大企業をカバーしたと述べている。また、彼らが費やした大規模モデルのトークンコストは合計で3000ドル未満だった！
各異なるテクノロジー企業ごとに、AIは1〜2日でその企業の環境に合わせて「毒画像」をカスタマイズされた攻撃兵器に変換できる。
数万枚のテスト画像を送り込んだ後、大手企業の画像プロセッサが次々とクラッシュしたが、Shopifyのみが異常を察知し、他のすべてのインターネット大手はまったく気づかなかった！
これは現代のインターネットの脆弱性の縮図である：有名なxkcd漫画が風刺するように、すべての現代的なデジタルインフラは、誰か知られていないプログラマーが保守する、脆弱性だらけの小さなオープンソースライブラリの上に不安定に構築されている。
セキュリティのパラダイムシフト：「複雑性の機密性」時代の終焉
その後、彼らはDiscourseおよびOpenAIにこの脆弱性を報告しました。
最初の報告から約14時間後、OpenAIはSSOの問題を修正しました。その後、Discourseも修正を完了しました。
6500ドル（約5万人民元）の報奨金のみが懸けられたこの脆弱性報告は、サイバーセキュリティの歴史における分水嶺事件となるだろう。
長年にわたり、ソフトウェア業界は「複雑性の安全」という影の保護傘を享受してきた。
過去には、たとえオープンソースコードライブラリの脆弱性が公開され、ソースコードが机の上に置かれていたとしても、一般のハッカーはそれを悪用できなかった。
理論上のメモリ破損脆弱性を、実際にサーバーを攻撃できる「武器」に変えるには、極めて希少な専門知識、膨大な時間の投入、およびターゲット環境に対する深い逆エンジニアリングが必要である。
過去、0-Dayと呼ばれる最高級の脆弱性兵器は開発コストが非常に高く、通常、国家レベルのハッカー部隊のみが高価値ターゲットのためにその労力を費やしていた。一般企業は、このような攻撃のコストの壁によってセキュリティを確保することができていた。
しかし、AIが自らこの傘を引き裂いた。
Hacktronは報告の最後に書いた：
AIはこの保護を排除しており、かつて希少だったハッキングの専門知識を安価な計算能力に変換しています。かつて資金に余裕のあるチームが数ヶ月をかけて行っていた攻撃が、今や数日、あるいは数時間で完了するようになりました。
現在、無制限の高度なAIを習得した3人チームであれば、国家レベルのセキュリティ浸透能力を発揮できる。
もしあなたの会社が「ハッカーは私たちを無視している」という考えに頼って防御しているなら、次に核心コードリポジトリが攻撃されるのはあなたかもしれない。
本文は微信公众号「新智元」（ID：AI_era）より、著者：ASI启示録