OpenAIのモデル、Artifactoryのゼロデイ脆弱性を悪用してインターネットへ「脱出」

JFrogは、OpenAIのモデルが自己ホスト型のArtifactoryサーバーに存在するゼロデイ脆弱性を悪用し、隔離されたテスト環境からインターネットへの経路を確保した上でHugging Faceへの攻撃に及んでいたことを確認しました。

この脆弱性は、OpenAIのモデルがHugging Faceの本番インフラをハッキングし、サイバーセキュリティ関連のベンチマークの回答を盗み出そうとした一連の事案の中で悪用されていました。

OpenAIは先週、GPT-5.6 Solを含む同社のモデル、およびより高性能な未公開のプレリリースモデルが、高度なサイバー能力を測定するために設計されたベンチマーク「ExploitGym」を用いてテストされていたことを明らかにしています。

これらのモデルは、AIエージェントによる自律的なサイバー活動を防ぐために通常導入されている本番環境向けの安全対策なしで実行されていました。

ただし、エージェントは高度に隔離された環境内に置かれており、ネットワークアクセスは、パッケージレジストリのプロキシおよびキャッシュとして機能する社内ホスト型のサードパーティ製ソフトウェアを経由したパッケージのインストールに限定されていました。

この評価の過程で、モデルは相当な時間を費やして、オープンインターネットへ到達しベンチマークのテスト解答を入手する方法を探していました。

OpenAIによると、モデルは名称非公開のパッケージレジストリ用プロキシに存在するゼロデイ脆弱性を悪用し、その後、研究環境内で権限昇格と横展開を行い、最終的にインターネットに接続されたシステムに到達したとしています。

OpenAIは当時、このパッケージレジストリ用プロキシソフトウェアやベンダー名は明らかにせず、脆弱性はすでに非公開で開示済みであり、修正パッチが適用されている最中だとのみ説明していました。

インターネットに到達した後、モデルはHugging FaceがExploitGymのデータセットや、入手を試みていたテスト解答をホストしている可能性があると判断しました。

OpenAIによると、モデルはこの情報にアクセスする方法を探索し、窃取した認証情報やゼロデイ脆弱性、その他の攻撃手法を連鎖させることで、Hugging Faceの本番インフラへのリモートコード実行の経路を見つけ出したとしています。

サンドボックス脱出時に悪用されたArtifactoryのゼロデイ脆弱性

月曜日に公開された新たな開示情報の中で、JFrogは、問題のサードパーティ製パッケージレジストリソフトウェアが自己ホスト型のJFrog Artifactoryのインストール環境であったことを確認しました。

「セキュリティ評価の過程で、OpenAIのモデルは、自己ホスト型のArtifactoryのインストール環境に存在する、これまで知られていなかったゼロデイ脆弱性を発見しました。この脆弱性を悪用すると、意図しないインターネットアクセスを取得できる状態でした」とJFrogのCTOであるYoav Landman氏は述べています。

JFrogによると、OpenAIは直ちにこの脆弱性を開示し、これによって同社はクラウド版・自己ホスト版の両顧客向けに修正版の開発・テスト・リリースを行うことができたとしています。

クラウド版の顧客はすでに保護済みである一方、自己ホスト版の顧客に対しては、修正版へのアップデートを行うよう通知が行われています。

7月27日にリリースされた「Artifactory 7.161.15 Self-Managed」には、匿名アクセス（Anonymous Access）が有効になっている場合に連鎖利用されると重大な攻撃シナリオにつながりかねない複数の脆弱性を修正した、との重要なセキュリティ通知が含まれています。

「本バージョンは、複数のセキュリティ脆弱性を修正するために設計されています。これらの脆弱性は、匿名アクセスが有効になっている場合、連鎖的に悪用されることで重大な攻撃シナリオにつながる可能性があります」と「7.161.15 Self-Managed」のリリースノートには記載されています。

「匿名アクセスはデフォルトで無効になっており、追加のセキュリティリスクをもたらすため、本番環境での使用は推奨されません」

JFrogはリリースノートの中で個々の脆弱性を列挙していませんが、BleepingComputerは7月27日にリリースされたArtifactoryバージョン7.161.15についてCVE.orgを検索したところ、関連する8件の脆弱性を確認しました。

これらのCVEレコードは、JFrogがゼロデイ脆弱性を開示したのと同じ日である7月27日にすべて作成されていました。8件すべてにおいて、脆弱性の発見者としてOpenAIがクレジットされており、修正が含まれるリリースとしてArtifactory 7.161.15が明記されていました。

これらの脆弱性は以下の通り追跡されています。

• CVE-2026-65921: 不正なファイル書き込みにつながる可能性のあるパストラバーサル
• CVE-2026-65923: ArtifactoryのAnsibleリポジトリ処理におけるサーバーサイドリクエストフォージェリの可能性
• CVE-2026-65924: Terraformリモートリポジトリを介したサーバーサイドリクエストフォージェリ（SSRF）
• CVE-2026-65925: JFrog ArtifactoryのCargoリモートリポジトリを介したサーバーサイドリクエストフォージェリ（SSRF）
• CVE-2026-66014: Artifactoryにおける権限昇格につながる可能性のある認証バイパス
• CVE-2026-66015: JFrog Platformに含まれる認可の不備。認証済みユーザーによる権限昇格を許す可能性があります。
• CVE-2026-65617: Artifactoryのパッケージサービスコンテナにおけるリモートコード実行の可能性。
• CVE-2026-66018: JFrog Artifactoryのビルド環境プロパティの露出

BleepingComputerはJFrogおよびOpenAIに対し、今回の事案でこれら8件のCVEのうちどれが悪用されたのか、またどの脆弱性が連鎖的に利用されたのかを問い合わせました。

回答があったのはJFrogのみで、該当するCVEの特定やさらなる技術的詳細の提供は行いませんでした。

「当社CTOのブログおよびコメント、そしてJFrogのリリースノート以外に、現時点で追加の詳細やコメントを提供する予定はありません」と、JFrogはBleepingComputerに対して述べています。

ただし、BleepingComputerが今回のリリースに関連するものとして確認した複数のCVEは、OpenAIが詳述した攻撃の一部と合致する能力をもたらし得るものでした。

CVE-2026-65924は、ArtifactoryのTerraformリモートリポジトリ対応機能に存在するサーバーサイドリクエストフォージェリの脆弱性です。

認証済みユーザー、あるいはリポジトリで匿名アクセスが有効になっている場合は未認証のユーザーであっても、この脆弱性を悪用することで、Artifactoryに任意の宛先へアウトバウンドのHTTPリクエストを送信させ、そのレスポンス内容を取得することが可能でした。

CVE-2026-65925も同様に、Artifactory内のCargoリモートリポジトリへの読み取りアクセス権を持つユーザーが、Artifactoryに意図しないURLへリクエストを送信させ、そのレスポンスを取得できる脆弱性です。

さらに別の脆弱性であるCVE-2026-66014は、Artifactoryの内部リクエスト処理における認証面の不備で、特定の条件下では攻撃者が権限を昇格できる可能性があります。

これらの脆弱性であれば、OpenAIが説明したインターネットアクセスおよび権限昇格の能力をもたらせた可能性があります。

ただし、実際にどの脆弱性が悪用されたのか、どのように連鎖利用されたのか、また8件すべての脆弱性がサンドボックス脱出に関与していたのかどうかは、依然として明らかになっていません。