OpenAI、自社システムに侵入したハッカーをパートナーに転換——6,500ドルの報奨金から最先端モデルへのアクセス権へ

2026年11月6日、OpenAIは公式ブログにて、サイバーセキュリティ企業Hacktronとの正式なパートナーシップ締結を発表した。両社のエンジニアが共同で優先度の高いテスト対象を選定し、AIシステムとサードパーティサービス間の接続における脆弱性の洗い出しに重点的に取り組む。合意条件として、HacktronはOpenAIの「Daybreak Red」プログラムを通じて、最先端のサイバーセキュリティモデルへのアクセス権を獲得した。

2026年7月25日、Hacktronの研究者たちはOpenAIの脆弱性報奨金プラットフォームBugcrowd上にレポートを提出した。その内容は、72時間以内にOpenAIのコミュニティフォーラムから社内コードリポジトリへの侵入を果たした一連の攻撃チェーンを記録したものだった。

攻撃の経路は以下のとおりだ。研究者たちはOpenAIのDiscourseフォーラムに、巧妙に細工されたHEIF形式の画像をアップロードした。フォーラムの画像処理モジュールが既知の脆弱性を持つlibheifのバージョンに依存していたため、ヒープオーバーフローのメモリ脆弱性が引き起こされ、リモートコード実行（RCE）が可能となった。足がかりを得た後、OpenAIのシングルサインオン（SSO）機構に欠陥があることを発見し、これを利用して複数の従業員のChatGPTおよびCodexアカウントへと横断的に移動。さらにCodexに紐づけられたGitHubの権限を通じて、OpenAI内部のプライベートコードリポジトリへのアクセスに成功した。

アクセスが実際に有効であることを証明しつつ機密コードを読み取らないよう、研究者たちはある従業員のCodexアカウントを用いて内部monorepoに無害なPull Requestを1件コミットした後、自ら検証を停止した。

OpenAIはレポート受領から約14時間後にSSO問題の修正を確認し、DiscourseはフォーラムへのパッチをOpenAIから連絡を受けた2日後に完了させた。2026年9月1日、OpenAIはHacktronに6,500ドルの脆弱性報奨金を支払った。9月13日、Hacktronは攻撃の全プロセスを公開開示した。なお、Hacktronは今回の侵入テストにおいてAnthropicのClaudeを補助ツールとして使用していた。

「敵」から「戦友」へ——パートナーシップの論理

HacktronはAI駆動型セキュリティツールを専門とする企業であり、主要製品にはコードレビューAIエージェント、侵入テストの自動化、レッドチームテストサービスが含まれる。同社の核心的な競争力は、大規模言語モデルの推論能力を攻撃的なセキュリティワークフローに統合している点にある。

HacktronのCEOであるZayne Zhang氏は発表の中でこう述べた。「サイバーセキュリティの未来は、最大のセキュリティチームを持つ者ではなく、人間の創造性とAI駆動の能力を最もうまく組み合わせられる者によって決まる。」また、OpenAIは「最先端のサイバーセキュリティモデルをセキュリティ研究者の手に渡すことで、強力な模範を示した」と付け加えた。

Daybreak Red——アクセスアーキテクチャ

Hacktronが取得したDaybreak Redへのアクセス権は、OpenAIが2026年8月10日に正式発表した階層型サイバーセキュリティプログラムの中核を成す部分だ。Daybreakは現在、以下の2つの層で構成されている。

• Blue層：主に防御的なセキュリティチームを対象とし、保護措置を備えた汎用の最先端モデルを提供する。
• Red層：脆弱性調査、エクスプロイト検証、レッドチームテストに従事することを認可された組織を対象とし、GPT-5.6-Cyberおよびそれに続くGPT-6 Cyberを含む、特別に訓練されたサイバーセキュリティモデルを提供する。

Red層へのアクセス申請には、身元確認、アカウントセキュリティ審査、利用制限の認定、および法的宣誓が必要となる。OpenAIがHacktronにRed層アクセスを付与したことは、後者がこれらの攻防シナリオ向けに専門訓練されたモデルを用いて、OpenAI自身の脆弱性を発見できることを意味する。

Hacktronとのパートナーシップを発表した同じ週、OpenAIはCathedralの研究者を次回のセキュリティスプリントに招集することも発表し、あわせて脆弱性報奨金プログラムの上限額を引き上げることも明らかにした。

本当の脆弱性はどこにあるか

Hacktronによる侵入事例は、AI時代における構造的なセキュリティのジレンマを浮き彫りにした。最も危険な攻撃対象領域はAIモデル自体ではなく、AIシステムと周辺サービスの接続部分にある。

今回の攻撃の起点はフォーラムの画像処理モジュールであり、終点は内部コードリポジトリだった。その中間の踏み台となったのがSSO——アクセス管理を簡素化するはずでありながら、実際にはすべてのサービスの権限を一括して束ねてしまう仕組みだ。攻撃者はGPTを直接突破する必要はなく、GPTを取り巻く境界が弱いサードパーティシステムを一つ見つけるだけでよかった。

このロジックはAIエージェントの時代においてさらに増幅される。AIエージェントがカレンダー、メール、コードリポジトリ、CRMシステムへの接続を認可された場合、新たな統合チェーンの一つひとつが、新たな潜在的侵入口となる。OpenAIは発表の中で、今回のパートナーシップの焦点が「AIエージェントが新たな方法でサービスに接続する際に生じる弱点をテストし、その知見を防御強化に活用すること」にあると明確に述べている。

独立した評価

侵入者を協力者へと転換することは、成熟したセキュリティ体制における標準的なアプローチだ。GoogleのProject Zero、MicrosoftのMSRC、AppleのSecurity Research Device Programはいずれも、程度の差こそあれこの道を歩んできた。OpenAIが異なる点は、その中核製品そのものがAIであり、セキュリティ強化に使用するツールもまたAIであるという点だ——攻撃と防御が同一の技術基盤を共有しており、それゆえこの領域の軍拡競争は、論理的には従来のソフトウェアセキュリティよりもはるかに緊張度が高い。

HacktronがClaudeを使ってOpenAIに侵入し、OpenAIがGPT-6 CyberでHacktronを武装して逆に自社のテストに当たらせる——このような構図は一見パラドックスのように映るが、実はそれがAIセキュリティの現実の姿だ。こうした能力を制御可能な制度的枠組みに組み込み、継続的に反復改善できた者こそが、次のフェーズにおけるセキュリティの主導権を握ることになる。