AIが脆弱性連鎖でOpenAI社内侵入を実証
- Hacktronの研究者がClaude Opus 5を使い、フォーラムの画像処理脆弱性とOpenAIのSSOを連鎖させ社員アカウントを乗っ取った
- 内部コードリポジトリへの到達は72時間以内、OpenAIは14時間で修正し6500ドルの報奨金を支払ったとされる
- 実際の被害はなく研究目的だが、より大規模な同種キャンペーンがSlackやGitHub Enterpriseなど他社にも及んだと報じられている
かんたんに言うと
AIの助けを借りたセキュリティ研究者が、OpenAIの社員用ログインの仕組みを突いて社内システムに侵入できることを実証しました。実際の被害はありませんが、共通のログインを使う自社システムの見直しが必要です。
AIセキュリティとの関連: AIモデルが実際の脆弱性連鎖を発見・実証し、企業システムへの侵入に成功した具体的事例のため。
何が起きたか
セキュリティ企業Hacktronの研究者3人が、Anthropicの生成AI「Claude Opus 5」を使い、2つの脆弱性を連鎖させてOpenAI社員のChatGPT・Codexアカウントを乗っ取ったと報じられている。起点はOpenAIの公開ヘルプフォーラムが使う「Discourse」の画像処理不具合(CVE-2026-32882、libheifライブラリのメモリ破壊、Discourse評価でCVSS8.8)。フォーラムはOpenAIの共通ログイン「Sign in with OpenAI」を使っており、フォーラムサーバーの制御を奪うことで社員のアカウントに到達できたという。内部リポジトリへの到達は72時間以内とされる。研究チームは実害のない検証用プルリクエストのみを行い、報告後OpenAIは約14時間で修正、9月1日に6500ドルの報奨金を支払ったとHacktronは説明している。
誰に・どう影響するか
大企業にとっては、社内外のサービスで単一のログイン基盤(SSO)を共有する設計のリスクが浮き彫りになった。公開性の低い周辺サービス(今回はフォーラム)が突破口となり、社員のGitHubやSlack、メールなど広範な業務システムに波及しうる構造だった点が重要とされる。中小企業にとっても、自社でDiscourseなど画像アップロード機能を持つソフトを運用している場合、libheifの古いバージョンを使っていないか確認が必要だ。修正済みのlibheif 1.22.0は2026年5月に公開されていたが、Debian 12ベースのフォーラムサーバーには反映されていなかったとされ、パッチ公開と実際の適用の間にずれが生じる典型例といえる。
今すぐやるべきアクション
- 自社で運用するDiscourseサーバーは最新イメージに再構築し、libheifを1.23.4以降など修正版に更新する
- HEIC/HEIF/AVIF画像を処理する自社システムで、libheifの利用有無とバージョンを棚卸しする
- 信頼度の異なるサービス間でSSOを共有していないか点検し、必要に応じて範囲を制限する
- 重要操作の前に再認証を求めるなど、既存セッションを過信しない設計に見直す
- 画像処理はサンドボックス化するか、不要な場合は未信頼画像のデコード機能自体を無効化する
重大度の判定理由
重大度「高」: 実悪用の確認はないが、SSO共有と広く使われるライブラリの欠陥が絡み影響範囲が広い。修正版は既に存在する。