研究者がClaudeを使いOpenAI社員のChatGPTを乗っ取り実証

セキュリティ研究者のHarsh Jaiswal、Mohan Pedhapati、Rahul Mainiの3人が、AnthropicのAIモデル「Claude」を使ってOpenAI社員のChatGPTアカウントを乗っ取ったと、自らの調査報告で明らかにした。2つの脆弱性を連鎖させてアカウントを掌握し、そのアクセス権を使って無害なプルリクエストを開くことで、OpenAIの社内リポジトリに到達できることを実証したという。発見からリポジトリ到達までは72時間未満で、Bugcrowd経由でOpenAIのバグ報奨金プログラムから6,500ドルを受け取った。

起点は7月25日、Discourse上で動くOpenAIのコミュニティフォーラムだった。この構成ではFastImageがHEIF形式に対応しておらず、アップロードされたHEIF画像がImageMagick経由でlibheifによって処理されていた。研究者らはこの経路が攻撃者の用意したファイルをlibheifのパーサーに直接さらしていた点に着目した。まずClaude Opus 4.8を使ってlibheifのヒープバッファオーバーフローを発見し、リモートコード実行（RCE）を試みたが、Discourseの初期設定では成立しなかった。その後Anthropicが新モデルClaude Opus 5を公開すると、研究者らはこれを使って攻撃スクリプトを生成し、OpenAIのインスタンス上でRCEを達成した。

続いてチームは、CodexがOpenAIのGitHub組織に接続されていた社員のアカウントを乗っ取った。実際の社内コードにはアクセスせず影響範囲だけを示すため、その社員のCodexに社内モノレポでPRを開かせるプロンプトを送り、そこで検証を止めたという。OpenAIは報告から約14時間で修正し、Discourseも画像処理のサンドボックス化を追加したセキュリティ勧告を公開した。なおOpenAIは、Discourse上のcommunity.openai.comへのテスト自体は報奨金プログラムの対象外であり、報奨はOpenAI側の発見に対するものだと説明している。

研究者らは「かつては潤沢な体制と数カ月を要した作業が、いまや数日に圧縮できる。セキュリティの前提は攻撃者の能力に追いつく必要がある」と指摘した。AIエージェントが数日、人間の作業は数時間で完結した点が、この事例の含意を象徴している。