セキュリティ企業Hacktron AIの研究者は、AnthropicのClaudeを使って脆弱性を発見し、複数のOpenAI従業員のChatGPTアカウントにアクセスした。チームは、そのうちの1つのアカウントから、AI研究所の内部ソフトウェアリポジトリにアクセスできることを実証した。
3人の研究者、Harsh Jaiswal、Mohan Pedhapati、Rahul Mainiは、述べた7月25日、OpenAIのコミュニティーフォーラム上のDiscourse環境でリモートコード実行（RCE）と管理者アクセスを取得し、それを利用してIDシステムの欠陥を悪用したという。
これにより、侵害されたフォーラムのセッションを通じてChatGPTおよびCodexのアカウントを乗っ取ることが可能になった。乗っ取られたアカウントの1つでは、CodexがGitHubに接続されていた。
チームは、「この脆弱性が実際に及ぼす影響を示すため、OpenAIの内部モノレポに無害な概念実証用のプルリクエストを作成した」と説明した。
研究者は具体的に、コミュニティーフォーラムがHEICおよびHEIF画像のアップロードをどのように処理するかを調べ、画像アップロードのパイプラインにあるバグを標的とするエクスプロイトの作成にClaudeを使った。研究者によると、Opus 4.8は信頼性の高いエクスプロイトを生成できなかったが、Opus 5はテスト環境で数時間以内に生成することに成功した。初期発見からリポジトリへのアクセスまでにかかった時間は、全体で72時間未満だった。
研究者は報告書で、「2カ月前まで、OpenAI独自のヘルプフォーラムにログインしたユーザーやOpenAI従業員は誰でも、ChatGPTとCodexのアカウントを乗っ取られる可能性があった」と記した。「人々はさまざまなサービスをCodexやChatGPTに接続できるため、理論上アクセスできた範囲は非常に広く、GitHub、Slack、メールなども含まれていた」
Hacktron AIの研究者はこの脆弱性をOpenAIとDiscourseに報告し、OpenAI側の脆弱性発見に対して6,500ドルの報奨金を受け取った。OpenAIはチームに対し、報告からおよそ14時間後にバグを修正したことを確認した。Discourseもその後数日以内にバグを修正した。
セキュリティは「追いつかなければならない」
今回の発見は、AI開発によって深刻なセキュリティエクスプロイトの実行コストが大幅に低下した時期に明らかになった。
チームは、「これは完全に自律的なハッキングではなく、熟練した人間による指示も依然として重要だった。しかし、小規模なチームが実行できる作業量は劇的に増加した」と指摘した。
Hacktron AIのチームは、AIによってオンラインセキュリティの複雑さを構成していた層が取り除かれ、以前は希少な専門知識と多大な時間が必要だった突破が可能になったことから、セキュリティに関する前提は攻撃者の能力に「追いつかなければならない」と述べた。
チームは、「現実的な脅威モデルでは、誰が高度な攻撃を実行できるかについての時代遅れの前提に依存するのではなく、現在のエクスプロイトの経済性を考慮すべきだ」と述べた。