Hacktron AI、Claudeを使いOpenAIの内部コードに到達。SSOの穴を突く

セキュリティスタートアップのHacktron AIが、AnthropicのClaudeを使ってOpenAIの内部データにアクセスすることに成功したと報告した。同社によれば、2026年7月にOpenAIの開発者向けコミュニティフォーラムの設定上の欠陥を悪用し、従業員のChatGPTアカウントへのアクセス権を取得したという。

フォーラムはオープンソースのDiscourseで運用されており、調査の過程で画像アップロード経路にほころびが見つかった。Discourseは通常、画像チェックにFastImageというコンポーネントを使うが、これはHEIF形式をサポートしないため、HEIC／HEIFファイルはImageMagickのmagickコマンドで変換される経路をたどっていた。この結果、攻撃者が用意したファイルが基盤のパーサーに直接渡る状態になっていた。libheifパッケージのHEICデコード処理には境界外の読み書きが起き得る問題があったとされる。

Hacktron AIはClaude Opus 4.8でエクスプロイトを開発し、リリース直後のClaude Opus 5を使ってDiscourseが動くx86-64環境向けに移植。最終的に画像アップロード経由でリモートコード実行が可能なエクスプロイトを完成させた。これを使ってフォーラム利用者のChatGPTおよびCodexアカウントを乗っ取ったところ、その一つがOpenAI従業員のもので、OpenAIのGitHubに接続されていた。内部コードの閲覧や変更提案ができる状態だったが、同社は不正アクセスを伝えるメッセージだけを残し、それ以上のテストは行わなかったとしている。

Hacktron AIは、この問題がDiscourse固有ではなくOpenAIのシングルサインオン（SSO）に起因する点を強調する。SSOを使うファースト／サードパーティのサービスが侵害されれば、同様にChatGPTやCodexへのアクセスにつながり得るという指摘だ。脆弱性の発見と悪用に使ったAIトークンの総額は3000ドル（約47万円）未満で、OpenAIのバグ報奨金プログラムを通じて6500ドル（約102万円）を受け取った。バグは記事作成時点で修正済みだ。