Hacktron、Claude Opus 5でOpenAIに侵入。画像の穴を突く

3人の独立系セキュリティ研究者からなるHacktronが、AnthropicのClaude Opus 4.8とClaude Opus 5を使い、OpenAI社員のアカウントへの侵入に成功していた。The Vergeが報じた。研究者らは、OpenAIのアルゴリズム上の秘密を含むとされるGitHubリポジトリ「Monorepo」にアクセスできる状態に達した。

社内コードそのものの閲覧は控えたが、侵入の証拠として社員のCodexアカウントからプルリクエストを送った。侵入の足がかりは、OpenAIのコミュニティフォーラムをホストしているサードパーティーのDiscourseだった。Discourseが使うHEIF画像の処理系の問題を突き、細工した画像ファイルを使って侵入した。Hacktronによると、Claude Opus 5が公開されたのは7月24日の夜で、翌朝10時にはDiscourse Cloud上での任意コード実行（RCE）を達成し、OpenAIのインスタンスに到達していた。

この「HEIF Heist」と名付けられた攻撃手法は、1社あたり1〜2日で別の標的に適用でき、OpenAIのほかSlack、Meta、GitHub Enterprise、Rails、Next.js、ImageMagickなどにも応用したという。使ったトークン代は3,000ドル未満で、研究者らの知る限り検知したのはShopifyだけだった。DiscourseとOpenAIに報告した脆弱性はすでに修正されている。

注目すべきは、攻撃の規模に比べてかかったコストと人数の小ささだ。HacktronのCTOであるMohan Pedhapati氏は「自分たちは中国の攻撃者ほど強くない。ClaudeとCodexを契約している3人組にすぎない」と語っている。高性能なモデルが公開された直後から、少人数のチームが短期間・低コストで大手企業の防御を破れるようになったことを示す事例といえる。

防御側にとっての教訓は二つある。一つは、フォーラムなど周辺のSaaSや、画像変換のような目立たない処理系が、本体への入口になり得ること。もう一つは、攻撃の試行が大量かつ高速になる前提で、検知と修正の体制を見直す必要があることだ。