Claude Opus 5を活用したセキュリティ調査、脆弱性の連鎖でOpenAI従業員アカウントの乗っ取りと内部コードへの到達を実証

要点

• セキュリティ企業Hacktronの研究者が、AnthropicのAI「Claude Opus 5」を活用して2つの脆弱性を連鎖させ、OpenAI従業員アカウントの乗っ取りに成功した。

• 公開ヘルプフォーラムの画像処理ライブラリの欠陥と、OpenAIのシングルサインオン仕様を組み合わせることで侵入経路が構築された。

• 攻撃コードの作成に難航していたが、2026年7月24日に公開されたClaude Opus 5を投入したところ、わずか数時間で実用的なエクスプロイトが完成した。

• 調査開始から内部リポジトリへの到達まで72時間未満で達成され、OpenAIは報告から約14時間後に修正を完了して報奨金6,500ドルを支払った。

• セキュリティ企業Hacktronの3名の研究者が、Anthropicの大規模言語モデル「Claude Opus 5」の支援を受け、2つの脆弱性を連鎖させてOpenAIの従業員アカウントおよび内部コードリポジトリへのアクセスを実証したことが明らかになった。2026年9月19日付で海外セキュリティメディア「The Hacker News」が報じた。本件は事前通知を伴う倫理的なセキュリティ調査であり、OpenAIは報告受領から約14時間後に問題を修正し、調査チームに報奨金を支払っている。

わずか72時間で内部リポジトリへ到達した調査の経緯

Hacktronの研究チームによると、調査に着手してからOpenAIの内部コードリポジトリへのアクセスを確立するまでに要した時間は72時間未満だったという。

チームはある従業員のCodexアカウントを通じてGitHub上の内部リポジトリに接続し、無害なプルリクエスト（コード変更の提案）を1件送信することでアクセス権限の奪取を実証した。調査はそこで終了し、ソースコードの閲覧、プログラムのマージやデプロイ、顧客データへのアクセスなどは一切行われなかった。

一方で研究チームは、従業員アカウントがChatGPTやCodexを通じて他の外部サービスと連携していたことから、理論上はGitHubやSlack、電子メールなど広範な社内ツールへも侵入を拡大させることが可能だったと説明している。

OpenAIは報告を受けてから約14時間後に修正を確認し、2026年9月1日に調査チームへ6,500ドルのバグ報奨金を支払った。OpenAI側は、この報奨がフォーラムソフトウェアに対するアクションではなく、OpenAI側の不備を特定したことに対する評価であるとしている。なお、OpenAIはログイン側の脆弱性について公式な詳細説明を行っておらず、修正の実施と報奨金の支払いによって事実関係を認める形をとっている。

侵入の起点となった公開フォーラムの画像処理ライブラリ

侵入の第1段階となったのは、OpenAIが運用する公開ヘルプフォーラムのサーバーだった。

このフォーラムはオープンソースの掲示板ソフトウェア「Discourse」で構築されており、ユーザーが投稿したHEICおよびHEIF形式の画像ファイルを処理する際、画像処理ツール「ImageMagick」を介して「libheif」ライブラリを呼び出す仕組みになっていた。

研究チームは、このlibheifに存在していた脆弱性（CVE-2026-32882）に着目した。この欠陥は、特別に細工された画像を読み込ませることでメモリの境界外読み取り（未許可領域のデータ読み出し）やプログラムのクラッシュを引き起こすものとして登録されている。

単体では直接的なリモートコード実行（外部から任意のプログラムを遠隔実行させること）には至らない欠陥だったが、メモリの読み出しを利用することで、現代の主要OSに備わる保護機構であるASLR（アドレス空間配置のランダム化：プログラムの配置メモリ番地をランダム化して攻撃を防ぐ技術）を無力化できる状態となっていた。

本脆弱性は、開発元によって2026年5月に「libheif 1.22.0」で修正されていた。しかし、OpenAIのフォーラムサーバーが採用していたDebian 12ベースのシステム環境では、未修正のバージョン1.19.7がそのまま稼働していたため、攻撃の足がかりとして利用されることとなった。

AIモデル「Claude Opus 5」が突破したエクスプロイト開発の壁

今回の検証において、侵入を成功に導く最大の技術的ハードルとなったエクスプロイト（脆弱性を悪用する攻撃プログラム）の作成には、生成AIが用いられた。

研究チームは当初、前世代の「Claude Opus 4.8」を利用してエクスプロイトの構築を試みたものの、ASLRが有効な環境下で動作するコードを生成できず、複数のセッションを重ねても難航していた。

状況が打開されたのは、Anthropicが2026年7月24日の夜に次世代モデル「Claude Opus 5」をリリースした直後だった。新たなセッションでOpus 5に同じ問題を提示したところ、わずか数時間で正常に機能するエクスプロイトコードが出力されたという。

研究チームはこのAIが生成したコードを活用し、libheifのメモリバグを組み合わせてクラッシュをフォーラムサーバー上での実用的なコード実行へと昇格させた。

フォーラム掌握から社内アカウント乗っ取りを招いた認証の仕組み

フォーラムサーバーの制御権を奪った研究チームが、なぜOpenAIの社内アカウント乗っ取りまで到達できたのか。その理由は、フォーラムに組み込まれていたOpenAI独自の認証システムにあった。

OpenAIのフォーラムには「Sign in with OpenAI」というログインオプションが用意されており、これは従業員が社内業務で利用しているSSO（シングルサインオン：1組の認証情報で複数の関連サービスにログインできる仕組み）と同一の基盤で動作していた。

研究チームがフォーラムサーバーを完全に掌握したことで、この共通ログイン機構を悪用し、フォーラムを利用していたOpenAI従業員のChatGPTおよびCodexアカウントを追加の操作を求めることなく乗っ取ることが可能となった。

Hacktronは、この問題はDiscourseソフトウェア自体の不具合ではなくOpenAIのアイデンティティ管理における設計上の問題であり、同じサインオン基盤を利用するサービスであれば、自社・サードパーティを問わず同様の不正アクセスが生じ得た状態だったと指摘している。

補足

Discourseが公式にクラウドホスティングしている環境は既に修正が適用されており、セルフホスト環境向けの修正版（2026.7.0、2026.6.1、2026.5.2、2026.1.6など）も提供されている。