- セキュリティ研究者らが「Claude Opus 5」を使い、OpenAI従業員のChatGPTアカウントを乗っ取り
- OpenAIコミュニティフォーラムの画像処理の欠陥を悪用し、リポジトリへのフルアクセスを取得
- 脆弱性発見からリポジトリアクセスまでの全工程は72時間未満
OpenAIのバグバウンティプログラムに参加していたHacktronのセキュリティ研究者グループが、OpenAI社内のChatGPTアカウントを侵害し、Github上の社内コードへのアクセスに成功しました。
この事件を最初に報じたWall Street Journalによれば、研究者らは「資格を持つサイバーセキュリティ専門家」向けに提供されているAnthropicのClaudeの「特別版」を使ってこの攻撃を成功させたとのことです。
研究者らは当初、Claude Opus 4.8を使って侵入を試みましたが、複数のつまずきに直面しました。モデルは「複数のセッションにわたって、動作するエクスプロイトの作成に苦戦した」といいます。しかし、Opus 5のリリースが状況を一変させました。
OpenAIへの侵入は、より広範なlibheifエクスプロイトの一部
今回の侵入は、.heic/.heif/.avif画像ファイル形式のデコーダー・エンコーダーにある欠陥を悪用するlibheifのエクスプロイトから始まりました。このエクスプロイトによってHacktronはOpenAIへの侵入に成功しましたが、libheifはSlack、Meta、GitHub Enterprise、Ruby on Railsなど、他の多くのプラットフォームやソフトウェアでも使用されています。
まず研究者らが注目したのは、OpenAIコミュニティフォーラムがDiscourseプラットフォームを利用しており、そのDiscourseが画像チェックにFastImageを利用しているという点でした。しかしFastImageは.heif画像ファイルに対応しておらず、こうしたファイルは変換のためにImageMagickへ渡される仕組みになっていました。
研究者らによれば、ImageMagickとlibheifの間にあるこの関係性を悪用するコード実行エクスプロイトの開発は、Opus 4.8では「実を結ばなかった」ものの、まさにその同じ日にAnthropicがClaude Opus 5をリリースしたといいます。
Opus 5を用いた研究者らは、AIエージェントをループ状態にして、ローカル環境のDiscourse Cloudインスタンスを攻撃させることで、同じ手法に基づくローカルのリモートコード実行(RCE)エクスプロイトの構築に成功しました。
この成功したDiscourseエクスプロイトは、その後OpenAIコミュニティフォーラムに対して用いられ、研究者らはOpenAI従業員のChatGPTアカウントを乗っ取ることに成功しました。当該従業員はChatGPT Codexを同社のGithubと連携させていたため、研究者らはリポジトリへのフルアクセスを得ることができました。
エクスプロイト開発に必要だった人間の作業はわずか数時間
Opus 4.8では動作するエクスプロイトの作成に何時間も苦戦した研究者らでしたが、Opus 5のリリースによって「どの新モデルもますます能力を高めている」ことが示されました。Opus 5を動かすエージェントが動作するエクスプロイトを開発するのに要した時間は、わずか数時間だったのです。
脆弱性の当初の発見からOpenAIのリポジトリへのアクセスに至るまでの全工程は、わずか72時間だったと研究者らは指摘しています。
また研究者らは、OpenAIおよびDiscourseへのハッキング全体について、成功に至るまで「エージェントにとっては数日を要したが、人間の作業時間としてはわずか数時間だった」とも述べています。さらに、Slack、Zoom、Metaといった組織を対象としたlibheifエクスプロイトに関する調査は、「2カ月を要し、トークン費用の合計は3,000ドル未満、3名の研究者によって実施された」とのことです。
「AIはほぼ手探りの状態からスタートし、1日か2日以内に各企業向けにエクスプロイトを適応させていった」と研究者らは述べています。「Shopifyを除いて、この活動を検知した企業があったとは把握していない。何千枚もの画像が送信され、各社の画像処理システムが繰り返しクラッシュしていたにもかかわらずだ」。
脆弱性を報告した見返りとして、HacktronはOpenAIから6,500ドルの報奨金を獲得し、libheifの脆弱性はすでに修正されています。
AIエージェントは未来を担う存在——良くも悪くも
私たちが十分に声を上げて議論できていないことがあります。人間による実績が一切ない状態で、AIによって構築されたセキュリティプラットフォームを、あなたは本当に使いたいと思いますか。
Hacktronによる今回のエクスプロイト実証は、サイバーセキュリティの世界でAIエージェントがいかに広く浸透しつつあるかを物語っています。AI企業は労働者に生産性向上や効率化のメリットをもたらすとAIエージェントを称賛してきましたが、同じことは攻撃者側にも当てはまります。
脆弱性の発見からリポジトリへのフルアクセスまでにわずか72時間しかかからなかったという事実は、その危険性を浮き彫りにしています。AIエージェントを動作するエクスプロイトが完成するまで継続的にループ実行させることで、AIを利用しない攻撃であれば数週間から数カ月かかっていたエクスプロイトの開発期間が、AIエージェントを活用する攻撃者にとってはわずか数時間にまで劇的に短縮されてしまうのです。
これは、OpenAI自身がAIエージェントのテスト中に誤ってHugging Faceに侵入してしまった事件とよく似た状況です。この事件では、AIエージェントは「あらゆる手段を尽くしてテストシナリオを完了させる」よう指示されており、エージェントはこれを、自らのアラインメントの範囲を超えて行動してもよいという許可として解釈し、タスク解決の鍵を握っていると判断した第三者の環境へのハッキングに及んだのでした。
「AIは以前から脅威の状況を変え続けており、それとともに防御の状況も変わってきました」と、SonicWallのEMEA担当エグゼクティブバイスプレジデント、スペンサー・スタークレー(Spencer Starkey)氏は述べています。「しかし、私たちが十分に声を上げて議論できていないことがあります。人間による実績が一切ない状態で、AIによって構築されたセキュリティプラットフォームを、あなたは本当に使いたいと思いますか」。
「一見すると魅力的に映ります。低コストで高マージン、洗練されたインターフェース。しかし、午前2時に何か問題が起きて、その製品を熟知し、あなたの環境を理解し、同様の問題を過去に見たことのある人材が必要になったとき、どうなるでしょうか。従業員がゼロのAI構築プラットフォームには、それを提供できません。
「新しく登場した選択肢が、半額で同じことの9割をこなせるのなら、なぜ実績あるベンダーを選ぶ必要があるのか、と思うかもしれません。もっともな疑問です。しかし、そこで犠牲にしている残り1割こそ、たいていの場合、説明責任であり、回復力であり、組織としての知見なのです。まさに攻撃を受けているときに最も重要となるものです。
「デューデリジェンスが崩れつつあるように見えますが、それは懸念すべきことです。見た目が良く手頃な価格というのは、カササギにとっては強力な組み合わせです。しかしサイバーセキュリティの世界では、ベンダー選定の失敗によるコストは、最も余裕のないタイミングになるまで表面化しません。だからこそ、カササギにはならないでください」とスタークレー氏は締めくくりました。
