セキュリティ研究チームのHacktron AIが、Anthropicの「Claude Opus 5」を使ってOpenAIの社内システムに侵入し、従業員のChatGPTアカウントやGitHub連携環境にアクセスしたと公表した。72時間以内に一連の攻撃を完結させたといい、OpenAIが用意する倫理的ハッキング制度のもとで報告し、6500ドルの報奨金を受け取っている。

画像アップロード機能から始まった侵入経路

Hacktronの3人の研究者（Harsh Jaiswal氏、Mohan Pedhapati氏、Rahul Maini氏）は、2026年7月23日、画像処理ライブラリ「libheif」に存在するヒープバッファオーバーフローの脆弱性を起点に攻撃を組み立てた。Debian 12環境で未パッチだったこの脆弱性は、画像変換ツール「ImageMagick」を経由し、OpenAIのコミュニティフォーラムが使うフォーラムソフト「Discourse」の画像アップロード機能にまで連鎖していた。

HEIF形式の画像ファイルをアップロードするだけでこの脆弱性を突けることを確認したチームは、サーバーへのアクセス権と、本来より広い権限を持つログイントークンを獲得した。このトークンはOpenAIのSSO（シングルサインオン）認証の設計上の欠陥と組み合わさり、従業員のChatGPTアカウントやCodexアカウントへのアクセスを可能にした。最終的には、入手した従業員トークンを使ってOpenAIの公式GitHubリポジトリ「openai/openai」に軽微な編集を加えることに成功し、その時点で攻撃を止めて報告に切り替えた。

Claude Opus 5への切り替えが突破口に

攻撃コードの開発では、チームはまず特別版の「Claude Opus 4.8」にASLR（アドレス空間配置のランダム化、メモリ攻撃を難しくするセキュリティ機構）を回避するエクスプロイトの作成を依頼したが、当初は成功しなかった。同日夕方にAnthropicが「Claude Opus 5」をリリースすると、翌日にはClaudeが回避方法を発見し、ローカルMac向けのARM64エクスプロイトを3時間で完成させたという。

Hacktronによれば、一連の調査全体でAIトークン利用にかけた費用は3000ドル未満にとどまる。OpenAIは同社への確認で、顧客データやAIモデルの重みは一切流出しなかったとしている。

「HEIF Heist」という広範な調査キャンペーンの一部

今回のOpenAIへの侵入は、Hacktronが「HEIF Heist」と名付けた約2カ月間の調査キャンペーンの一部だった。同社によれば、同じlibheifの脆弱性を突く手法はOpenAIだけでなく、Slack、Meta、Zoom、Shopify、GitHub Enterprise など幅広く利用されているプラットフォームにも通用したという。

生成AIモデル自体が、脆弱性の発見や攻撃コードの生成に実用段階で使えることを示した事例であり、モデルの世代交代（Opus 4.8からOpus 5への切り替え）が攻撃の成否を分けた点も注目される。企業にとっては、フォーラムソフトや画像処理ライブラリといった周辺コンポーネントの脆弱性管理が、AIの能力向上とともにこれまで以上に重要になっていることを示す事例といえる。