OpenAIへ72時間で到達したClaude製の攻撃連鎖

セキュリティ企業Hacktronの研究者3人が2026年7月25日、OpenAIの従業員のアカウントを奪い、社内のmonorepoにプルリクエストを作成した。
同社は9月13日付の記事で、攻撃の連鎖と使用したモデルを公開した。
この記事では、画像投稿から社内コードへ届くまでの経路と、利用企業側で点検できる箇所を扱う。

画像投稿から社内リポジトリまでの連鎖

入口はOpenAIのコミュニティフォーラムになる。
フォーラムを動かすDiscourseは、HEICとHEIFの画像を通常の検査部品では扱えず、ImageMagickの変換処理へ渡していた。
変換の内部でlibheifが復号を担い、攻撃者が用意した画像がそのまま解析器に届いた。

libheifにはヒープ領域の上書きにつながる欠陥があった。
上流では前年に該当箇所が修正済みだったが、セキュリティ修正として記録されずCVE番号も付かなかった。
Hacktronは、その扱いがDebianへの反映漏れにつながったと見ている。

DiscourseのDockerイメージはDebian 12を土台にしており、欠陥のあるlibheifを導入していた。
Debianが修正版を出したのは8月8日になる。

侵入後に効いたのはOpenAI側の不備だ。
認証の連携に問題があり、フォーラムの侵害がChatGPTとCodexのアカウント奪取につながった。
Hacktronは、同じ認証を使う他のサービスが侵害されても結果は同じだと書いている。
奪ったアカウントのCodexはGitHubの組織に接続されており、研究者は社内コードを閲覧せずPRの作成だけで影響を示した。

モデルの世代交代で変わった結果

研究は7月23日に始まった。
研究者はOpus 4.8のセッションにDiscourseのDockerイメージを渡し、導入済みのlibheifを点検させた。
モデルは、必要なセキュリティ修正が反映されていない状態を見つけた。

翌24日、同じモデルでメモリ配置の無作為化を切った条件の実行コードができた。
ただし既定の構成に対しては、セッションを重ねても動くものにならなかった。

その晩にAnthropicがClaude Opus 5を公開した。
新しいセッションはMac向けの実行コードを3時間で作り、Discourseが使う環境へ移植した。
25日午前6時までにローカルでの遠隔コード実行を確認している。

遠隔の実体を狙う段階では、モデルが作成を拒んだ。
研究者は自社のDiscourse環境をCTFの標的に見える経路へ通し、自律ループで動かした。
午前10時には遠隔コード実行に成功し、設定ファイルの読み出しで確認した。

費用と検知の欠落

Hacktronは、libheifを追った調査全体を2か月、研究者3人、トークン費用3,000ドル未満で行ったとしている。
企業ごとの適用に要した期間は1日から2日だった。

検知はほとんど働かなかった。
数千枚の画像を送り、画像処理が繰り返し停止したにもかかわらず、活動に気付いたのはShopifyだけだとHacktronは書いている。

TechCrunchによると、研究者が使ったのは研究者向けにサイバー分野の制限を緩めたOpus 4.8で、最終的に成功したOpus 5には輸出面の制限がかかっていない。
AIセキュリティ企業Gray SwanのMatt Fredriksonは、月200ドルの道具で誰でもOpenAIのような企業に侵入できると同誌に述べた。

利用企業側で点検できる箇所

第一に画像処理の経路になる。
利用者が投稿する画像を受け付け、HEICやHEIF、AVIFを復号している箇所があれば対象に入る。
Hacktronは、不要な復号を止めるか、画像処理を使い捨ての隔離環境へ移すよう求めている。
ImageMagickの設定でも、受け付ける形式と資源の上限を絞れる。

第二に部品の更新になる。
libheifとlibde265を、配布元のセキュリティ経路か上流の最新版へ更新する。
9月14日時点の上流の最新はv1.23.4になる。
配布版は番号が古く見えても修正が入る場合があるため、告知の確認が要る。
Discourseを自分で運用している場合は、再構築しなければ土台の画像が入れ替わらない。

第三に認証と接続の範囲になる。
周辺のサービスが本番と同じ認証でつながっていれば、周辺の侵害が本体の権限に届く。
コード補助のエージェントに渡したGitHubやSlackへの接続も、権限の棚卸しの対象になる。

まとめ

Hacktronの事例が示したのは、公開済みで番号も付かなかった不具合が、モデルの世代交代だけで数時間の作業に変わった点になる。
連鎖は利用者の画像投稿から始まり、認証の不備を経て社内コードの権限に届いた。
費用は3人で3,000ドル未満にとどまり、標的側の検知はほぼ働いていない。
点検の対象は、画像処理の経路、依存部品の更新、そして認証とエージェントの接続範囲になる。

出典

• Hacking OpenAI（Hacktron、2026年9月13日）
• Researchers used Anthropic's Claude to hack into OpenAI（TechCrunch、2026年9月18日）
• Hackers breach OpenAI using Claude tools（Tom's Hardware、2026年9月18日）

#Hacktron #OpenAI #ClaudeOpus5 #libheif #Discourse #SSO #脆弱性 #サイバーセキュリティ #バグバウンティ