security
エージェント型攻撃、再び勝利
競合他社に堂々と侵入されるとはこのことです。セキュリティ研究者らが、AnthropicのClaudeを使ってOpenAI従業員のChatGPTアカウントへの侵入に成功しました。
フロンティアAI企業のセキュリティ上の弱点を調査していた3人組のバグハンターが、2つの脆弱性を連鎖させて複数のOpenAI従業員のChatGPTアカウントを乗っ取りました。さらにそのアクセス権を使い、無害なプルリクエストを開くだけでOpenAI社内リポジトリに到達できることを実証しました。
最初の発見からOpenAIのリポジトリへのアクセスまで、一連の流れはわずか72時間足らずで完了し、研究者らはBugcrowd上のOpenAIバグ報奨金プログラムから6,500ドルの報酬を獲得しました。
「2カ月前まで、OpenAI自身のヘルプフォーラム(community.openai.com)にログインする一般ユーザーやOpenAI従業員は誰でも、ChatGPTおよびCodexのアカウントを乗っ取られる可能性がありました」と、Hacktronの研究者であるHarsh Jaiswal氏、Mohan Pedhapati氏、Rahul Maini氏は、自身らの調査についてまとめた記事で 述べています。「CodexやChatGPTには様々なサービスを連携できるため、理論上アクセス可能な範囲はGitHub、Slack、メールなど非常に広範でした」
そして皮肉なことに、彼らはこのエクスプロイトの開発に、ライバルであるAI大手Anthropicのライバル、Claudeモデルを使用していました。Claudeはこれまでにも人間の指示なしで組織をハッキングする傾向を見せており、OpenAIのモデルも同様の傾向を示しています。
研究チームは7月25日、OpenAIのコミュニティフォーラムを通じて最初の侵入を果たしました。このフォーラムはDiscourse上で稼働しており、通常は画像チェックにFastImageを使用しています。しかし、対象環境ではFastImageがHEIFファイルに対応していなかったため、DiscourseにアップロードされたHEIF画像はImageMagickを経由し、libheifによって処理された後、別の画像形式に変換される仕組みになっていました。
「これにより、攻撃者が制御可能なファイルが、libheifパーサーに直接晒される状態になっていました」と研究者らは記しています。
3人組はClaude Opus 4.8を使ってlibheifライブラリ内のヒープバッファオーバーフロー脆弱性を発見し、このモデルを使ってリモートコード実行(RCE)攻撃を開発しようとしましたが、Discourseの初期設定ではうまくいきませんでした。
しかしその後、AnthropicがClaude Opus 5をリリースします。バグハンターたちは新しいモデルを使ってエクスプロイトスクリプトを生成し、OpenAIの環境上でRCEの実現に成功しました。
3人組は「即座に」この脆弱性をOpenAIに報告しました。
「その後、私たちはOpenAI従業員のアカウントを1つ乗っ取りました。このアカウントのCodexはOpenAIのGitHub組織に接続されていました」と彼らは記しています。「実際に社内コードにアクセスすることなく影響範囲を実証するため、この従業員のCodexアカウントにプロンプトを送信し、OpenAIの社内モノレポにプルリクエストを開くよう指示しました。その後、それ以上のテストは一切行いませんでした」
OpenAIとAnthropicのいずれも、The Registerからのコメント依頼には応じませんでした。
OpenAIは報告からおよそ14時間以内に脆弱性を修正し、問題を解決済みとして記録した上で、Hacktronチームに6,500ドルの報奨金を支払いました。
「この報奨金の対象範囲を明確にしておきます。Discourseでホストされているcommunity.openai.comに対するテストは、当社のバグ報奨金プログラムの対象から明示的に除外されています」と、Hacktronが共有したコメントの中でOpenAIは述べています。「この報奨金は、Discourseに対する行為ではなく、OpenAI側で発見された問題を評価対象としたものです」
Discourse側も、画像処理のサンドボックス化を追加する修正を実施し、パッチ適用と再構築に関するガイダンスを含むセキュリティアドバイザリ GHSA-vhm9-85gw-x335 を公開しました。
今回のハッキング全体は、AIエージェントによる作業が数日、人間による作業はわずか数時間で完了しました。
「かつては十分なリソースを持つチームが数カ月をかけて行っていた作業が、今では数日に圧縮できるようになっています」と研究者らは述べています。「セキュリティに関する前提は、攻撃者の能力に追いつく必要があります」 ®
