"たった1枚の画像"を使ってハッキング侵入される事象が発生（ハッキングされたのはChatGPTのOpenAI社） #179

本日のYOSHIO's Report 2026年9月19日（土）

この配信で話されている内容は与太話です。誤認や思い込み、ハルシネーションが多々含まれますのでお気を付けください
パーソナリティ：YOSHIO

1. セキュリティ研究者3人が、AnthropicのClaudeを使ってOpenAIの社内システムに72時間足らずで侵入した
セキュリティ企業Hacktron AIの研究者3人が、AnthropicのAI「Claude」を使い、OpenAIの利用者向け掲示板を入口に社内システムへ到達しました。掲示板はDiscourseという他社製ソフトで動いており、iPhoneが標準で使うHEIC形式の画像を変換するlibheifという部品に、メモリの扱いを誤る不具合がありました。細工したHEIC画像を1枚アップロードするだけで掲示板のサーバー上でプログラムを実行でき、さらにOpenAIのシングルサインオンの設定不備により、掲示板用に発行された通行証に必要以上の権限が付いていたため、ログイン中の社員になりすましてChatGPTとCodexのアカウントを利用できる状態になりました。ある社員のアカウントはOpenAIのGitHubにつながっており、研究者は証拠として説明文だけを書き換える無害な変更を1件送り、そこで手を止めています。これはOpenAI自身が募集していたバグバウンティへの参加で、OpenAIは3人に6,500ドル（およそ103万円）を支払いました。libheifの不具合は1年前に開発元で修正されていましたが、セキュリティ上の問題として登録されなかったため多くのサーバーに配られないまま残っていました。注目されたのはAIの世代交代で、7月24日にClaude Opus 4.8へ攻撃プログラムの作成を任せた際はサーバー側の防御を切った状態でしか動くものが作れませんでしたが、その夜にAnthropicがOpus 5を公開し、翌朝に同じ課題を与えるとおよそ3時間で手元のMacで動く攻撃プログラムが完成、その4時間後には試験用の掲示板を遠隔から乗っ取りました。人の手をほぼ離した自動実行でもClaudeは自力でサーバーを乗っ取りましたが、実在するサーバーへの攻撃は当初拒んだため、研究者は練習問題に見えるアドレスを経由させています。今回の侵入は「HEIF Heist」と名付けられた2か月がかりの調査の一部で、同じ手口はSlackやGitHubの法人向けサービスなど複数の大手にも通用し、AIの利用料は全部で3,000ドル（およそ47万円）に届かず、攻撃に気づいたのはShopify1社だけでした。Hacktronのモハン・ペダパティ氏は「自分たちが中国の攻撃集団ほど強いとは思わない。ClaudeとCodexを契約しているだけの、ただの3人だ」と語っています。OpenAIは問題を修正し通行証の権限を絞ったと説明、Anthropicはコメントを避けました。

【今回のキーワード】
Hacktron AI（ハックトロン、セキュリティ企業）、モハン・ペダパティ（Mohan Pedhapati、HacktronのCTO）、OpenAI、Anthropic、Claude、Claude Opus 4.8、Claude Opus 5、ChatGPT、Codex、GitHub、Discourse（ディスコース、掲示板ソフト）、community.openai.com、HEIC、HEIF、libheif、ImageMagick、モノレポ（monorepo、社内のプログラム保管庫）、プルリクエスト、シングルサインオン（SSO）、バグバウンティ（脆弱性報奨金制度）、リモートコード実行（RCE）、ヒープバッファオーバーフロー、CVE、ASLR、HEIF Heist、Slack、Shopify、Ars Technica、The New Stack、The Verge、TechCrunch、The Decoder、The Register、The Guardian、Tom's Hardware

※金額換算は1ドル＝158円（2026-09-18時点）で計算しています。