2026年9月17日、セキュリティスタートアップHacktron AIの研究報告書が公開された。同社の研究者3名が同年7月末、脆弱性チェーンを通じてOpenAIの内部システムへの侵入に成功し、従業員のChatGPTアカウント権限を取得。さらにプライベートコードリポジトリ「Monorepo」内のファイルを閲覧し、アクセス権限の証明としてプルリクエストを1件提出したことが明らかになった。一連の操作に要した時間は72時間未満、消費したAI計算コストは3000ドル未満だった。OpenAIは発見当日に修正を完了し、同チームに6500ドルのバグバウンティを支払った。
脆弱性チェーン：1枚の画像から内部コードベースへ
攻撃経路の起点は、一見無関係に見える画像デコードライブラリだった。Hacktronの研究者は、OpenAIコミュニティフォーラムが使用するDiscourseプラットフォームがHEIF/HEIC形式の画像を処理する際にImageMagickを呼び出し、そのImageMagickがヒープバッファオーバーフローの脆弱性を持つlibheifライブラリ（CVSSスコア8.8）に依存していることを発見した。細工を施したHEIF画像ファイルをアップロードすることで、研究者たちはフォーラムサーバー上でリモートコード実行（RCE）を実現した。
これ自体は比較的独立した脆弱性だったが、第2の問題がそれをより深部への通路に変えた。OpenAIのシングルサインオン（SSO）システムの設定に欠陥があり、コミュニティフォーラムのユーザー認証トークンが十分な分離を経ないまま複数のOpenAIサービスで再利用可能な状態にあった。研究者たちはこれを利用して、公開コミュニティフォーラムのサーバーから認証の境界を突破し、OpenAI従業員のChatGPTおよびCodexアカウントにログイン。最終的にCodexアカウントを通じて、OpenAIがGitHub上に保有するプライベートコードリポジトリへのアクセスに成功した。
『ウォール・ストリート・ジャーナル』の報道によれば、「Monorepo」と呼ばれるこのコードベースには、同社のアルゴリズムおよびソフトウェアシステムに関する重要な内部コードが含まれており、モデルをより高速かつ効率的に動作させるためのコードが存在するが、モデルの重みは含まれていないとされる。研究チームはアクセス権限を確認したうえで、プルリクエスト「PR#1186742」を提出し、チームの識別情報と研究者のSNSアカウントへのリンクを追加することで読み書き権限の取得を証明したが、機密ソースコードの詳細な閲覧やダウンロードは行わなかった。HacktronのCTO、モハン・ペダパティ氏は率直にこう語った。「私たちが理論上アクセスできた範囲は、膨大なものだった。」
Claude Opus 5の役割：失敗に終わった旧版と成功した新版
今回の事件で最も注目すべき点は、Anthropicの新旧2世代モデルの能力差だ。研究者たちは当初、Claude Opus 4.8を使って脆弱性エクスプロイトコードの開発を試みたが、複数のセッションを経てもすべて失敗に終わった。7月24日、AnthropicがClaude Opus 5をリリースした当日、チームは再挑戦した。Opus 5は3時間以内にARM64アーキテクチャ向けの実用的なエクスプロイトプログラムを生成し、その後自律的にx86-64アーキテクチャおよびjemallocメモリアロケータ環境への移植まで完了させた。
VentureBeatの報道によれば、研究者たちが使用したのはAnthropicが資格を持つサイバーセキュリティ従事者向けに特別提供しているClaudeの特別版であり、一般消費者向け製品ではない。しかし重要なのは、同一タスクにおける2世代モデルの成功率が「60点から80点」への線形的な向上ではなく、「0から1」への跳躍を示したことだ。Opus 4.8は何度試みても失敗し、Opus 5はリリース当日に成功した。これはAI支援による脆弱性エクスプロイトの能力が非線形的な速度で向上していること、そしてその飛躍がメジャーなモデルバージョンのリリースごとに突然出現し得ることを示しており、緩やかに予測できるものではない。
この事実は、一般的な防御的論拠をも覆すものだ。高難度の攻撃タスクに対してAIは「参考補助」や「効率向上」の役割にとどまり、実際の攻撃にはトップレベルの専門家が必要だという主張がある。しかし今回の事件は、一部のタスクには「不可能」から「可能」への臨界点が存在し、AIモデルのイテレーションがあるアップデートを境にその線を一気に越えてしまう可能性を示している。
「複雑性による安全」という防壁の消滅
Hacktronチームは研究報告書の中でこう記した。「ソフトウェアはこれまで長きにわたり、複雑性によるセキュリティという仕組みから恩恵を受けてきた。AIはより多くの希少な専門知識を計算能力へと変換し、この保護を取り除きつつある。かつてリソースの豊富なチームと数カ月の時間を要した作業が、今や数日に圧縮できる。セキュリティの前提は攻撃者の能力に追いつかなければならない。」
この指摘は個別の事案ではなく、構造的な問題を示している。従来の企業セキュリティアーキテクチャの根本的な論理は、高度な攻撃を仕掛けるコストがほとんどの攻撃者の能力上限を大きく上回るため、技術的には安全だが設定に欠陥のあるシステムでも「複雑性の壁」によって機能し続けられるというものだった。この壁はいかなるセキュリティ文書にも明記されていないが、長期にわたって現実に機能してきた。
AIはこの防壁を組織的に解体しつつある。Hacktronの3人チームは3000ドル未満の計算コストで、72時間以内に、かつてはペネトレーションテスト・リバースエンジニアリング・脆弱性開発の能力を持つ専門チームでなければ完遂できなかった一連の作業を成し遂げた。彼らは国家に支援された高度攻撃チームと同等だとは考えていない。しかし実際に、そうしたチームにしかできなかったことをやってのけた。人間の能力の上限が上がったのではなく、ツールが敷居を下げたのだ。
Anthropic自身も2026年9月に公開したサイバー脅威インテリジェンス報告書でこの傾向を認めている。過去数カ月で、攻撃者がClaudeをサイバー侵入・マルウェア開発・認証情報の収集・データ処理に活用した事例が複数確認されたという。報告書は、AIがリソース豊富な国家レベルの攻撃チームと個人攻撃者の間に存在していた技術的・人的格差を縮小しつつあると明確に指摘している。
OpenAI：自ら生み出した問題に繰り返し直面
今回の事件は、OpenAIが近年直面するセキュリティ上の困難の一断面に過ぎない。2026年7月、OpenAIは自社開発の「エージェント群」がサイバーセキュリティテスト中にAIスタートアップHugging Faceの本番インフラへの侵入に成功したことを公表した。Anthropicもその後、Claudeモデルがサイバーセキュリティ評価中に誤って第三者の実システムへアクセスしたことを明らかにした。9月16日、OpenAIはモデル行動異常報告フレームワークを発表し、過去6カ月間に観察された6件の異常または懸念されるモデル行動を一括公表するとともに、これまでの関連開示が「断片的すぎた」と率直に認めた。
OpenAI社長のグレッグ・ブロックマン氏は今週、同社が一時的に生産エンジニアの約25%を既存プロジェクトからセキュリティ防御業務に転換し、社内の大規模点検で複数の深刻な問題を発見・修正したと明かした。この数字が意味するのは、技術的に最も攻撃的なAI企業が、相当な研究開発リソースを防御そのものへと振り向けているということだ。ある意味、自らが構築に関与したツールが、その防御をますます困難にしているからに他ならない。
今回の侵入についてOpenAIは2つの問題の関与を認めた。1つはサードパーティサービスDiscourseのlibheif脆弱性、もう1つはOpenAI自身の権限設定の欠陥だ。同社はその後、コミュニティログイントークンの権限範囲を縮小し、影響を受けたトークンとセッションを失効させた。Discourseも7月28日に独自のセキュリティアドバイザリを公開し、脆弱性を修正した。
競争環境におけるツール選択のパラドックス
技術コミュニティでひときわ議論を呼んだ点がある。今回のOpenAI侵入で中核的なツールとして使われたのが、AnthropicのClaudeだったことだ。両社は大規模言語モデル分野における最も直接的な競合関係にあり、Anthropicのモデルが競合AI企業のシステムへのペネトレーションテストに使われたという「競合他社の武器で競合他社を攻撃する」という構図が、この安全保障上の事件に技術を超えたドラマ性を与えている。
ただしこの点は論理的に不思議ではない。ペネトレーションテストの本質は攻撃者の視点で考えることであり、攻撃者は「攻撃対象のツールしか使えない」という制約を受けない。真に問うべきは、Anthropicがサイバーセキュリティ従事者向けに提供している特別版Claudeの能力境界がどこにあるのか、誰がアクセスを申請できるのか、審査メカニズムは十分に機能しているのか、という点だ。
6500ドル：妥当な報酬か、それとも過小評価されたリスクか
もう1つ検討に値する数字がバグバウンティ額そのものだ。フォーラムサーバーへのRCEから内部MonorepoへのフルアクセスRCEへの完全な攻撃チェーンを実証した成果に対して、6500ドルという金額はその実際の価値に見合っているだろうか。
バグバウンティプログラムとは本質的に、限られた報酬による社会契約だ。誠実な研究者による責任ある開示を促すことはできても、同等の技術力を持つ悪意ある行為者がダークウェブ市場で同じ脆弱性を売りに出すことを阻止することはできない。AIツールが脆弱性の発見と悪用のコスト的敷居を大幅に引き下げた今、脆弱性の市場価値は上昇と下落を同時に経験し得るが、両者の合力がどちらの方向を指すかを判断するには、まだ十分なデータが存在しない。
結語：セキュリティモデルの書き直しは急務だ
今回の事件の最も冷静な読み方は「OpenAIがハッキングされた」ではなく、より普遍的な結論だ。現存する大量の企業セキュリティアーキテクチャは、今や機能不全に陥りつつある前提に依拠している――攻撃者の能力には上限があり、その上限は現在のシステムの防護コストを下回る、という前提だ。Hacktronの3人チームは72時間以内にその前提を事実で打ち砕いた。そして彼らの能力の境界は、次のOpusバージョン、次のGeminiバージョン、次のoシリーズバージョンがリリースされるたびに、さらに外へと押し広げられていく。
歴史上、攻防能力に非対称な飛躍が生じるたびに、防御側はセキュリティモデルを書き直すことを余儀なくされてきた――暗号技術からファイアウォールへ、ファイアウォールからエンドポイント検知へ、そして今また。AIは脆弱性悪用の産業化プロセスを加速させた。これは防御が無力だということを意味しない。しかし「様子見」がもはや安全な選択肢ではないことは確かだ。今なお「攻撃が複雑すぎるから誰もそんなことはしないだろう」という論理に依存しているシステムは、この報告書を正式な機能停止通知として受け取るべきだ。
© 2026 Winzheng.com 赢政天下 | 转载请注明来源并附原文链接