• セキュリティ企業Hacktron AIの3人チームが、AnthropicのClaudeを使ってOpenAIの内部システムに侵入したと2026年9月18日に公表
  • 入口はOpenAIの公式フォーラム。画像ファイルの処理ミス（libheifの脆弱性）とSSOの設定ミスを連鎖させ、社員のChatGPT・Codexアカウントを乗っ取った
  • 発見から内部ソースコード「monorepo」への到達まで72時間以内。AIの利用コストは約47万円、報奨金は6,500ドル（約102万円）
  • Claude Opus 4.8では攻撃コードを作れず、Opus 5がリリースされた数時間後に成功。AIの進化がそのまま攻撃力の進化になった
  • 日本企業も無関係ではない。フォーラムソフトやシングルサインオンを使う企業は権限設計の見直しが急務

「世界で最も守りが堅そうなAI企業が、ライバル社のAIにハッキングされた」。そんな冗談のような話が、本当に起きました。しかも実行したのは、たった3人の小さなスタートアップです。この記事では、OpenAIの内部ソースコードにまで到達した侵入の手口、なぜClaude Opus 5が決定打になったのか、そして日本企業がいま見直すべきポイントをわかりやすく解説します。

何が起きたのか：3人のチームが72時間でOpenAIの中枢へ

2026年9月18日、米ウォール・ストリート・ジャーナルが「独立系のセキュリティ研究者がAnthropicのClaudeを使ってOpenAIに侵入した」と報じました。同日、当事者であるHacktron AIも自社ブログで詳細を公開しています。

Hacktron AIは、インド出身の3人が率いるサンフランシスコのスタートアップです。2026年5月にプレシード（創業直後の資金調達）で290万ドル（約4.5億円）を集めたばかりの、まだ小さな会社です。

その3人が、2026年7月25日にOpenAI社員のChatGPTアカウントとCodexアカウントを乗っ取り、社内のGitHubリポジトリ「openai/openai」（monorepo＝会社のコードをまとめた巨大な保管庫）にプルリクエストを作成しました。プルリクエストとは「このコードを追加してください」という正式な提案のことで、内部に書き込み権限があることの動かぬ証拠になります。

最初の脆弱性の発見から内部コードへの到達までは、72時間もかかりませんでした。しかも、これは犯罪ではなく「バグバウンティ（脆弱性を見つけて報告すると報奨金がもらえる制度）」の枠内で行われた合法的な調査です。OpenAIは通報から約14時間で修正を完了し、9月1日に6,500ドル（約102万円）の報奨金を支払いました。

侵入の手口：画像1枚からソースコードまでの4ステップ

侵入経路は、まるでドミノ倒しのように4つの段階でつながっていました。順番に見ていきましょう。

ステップ1：フォーラムに「細工した画像」をアップロード

入口は、OpenAIが開発者向けに運営する公式フォーラム「community.openai.com」です。このフォーラムは、Discourse（世界中で使われているオープンソースの掲示板ソフト）で動いていました。

Discourseは、ユーザーがHEIC／HEIF形式（iPhoneの標準写真フォーマット）の画像を投稿すると、ImageMagickという画像処理ツールに渡し、さらにlibheifというライブラリ（プログラムの部品）で読み込みます。

このlibheifのバージョン1.19.7に、ヒープバッファオーバーフロー（決められた領域をはみ出してメモリに書き込めてしまうバグ）がありました。細工した画像を1枚アップロードするだけで、サーバー上で好きなプログラムを動かせる「RCE（リモートコード実行）」が成立したのです。

ステップ2：フォーラムの管理者権限を奪う

サーバー上でプログラムを動かせれば、あとは掲示板の管理者権限を取るのは時間の問題でした。Hacktron AIはここでDiscourseの管理者アクセスを手に入れています。

ステップ3：「Sign in with OpenAI」から社員アカウントへ

ここが今回の核心です。OpenAIのフォーラムには「Sign in with OpenAI」という、ChatGPTのアカウントでログインできるSSO（シングルサインオン＝1つのIDで複数のサービスに入れる仕組み）が用意されていました。

ところが、このSSOのトークン（ログイン状態を示す合鍵のようなデータ）に必要以上に強い権限が与えられていました。掲示板の管理者になった研究者は、この合鍵を使ってOpenAI社員のChatGPTとCodexのアカウントにそのまま入れてしまったのです。

会社のビルで考えてみてください。社員食堂の合鍵が、実は役員室も開けられる作りになっていた。そんな状態でした。

ステップ4：Codexに命じてmonorepoへ書き込む

乗っ取った社員のCodex（OpenAIのコーディングAIエージェント）は、社内のGitHubと連携していました。研究者はこのCodexに「内部リポジトリにプルリクエストを開いて」と指示するだけで、OpenAIの中枢コードに書き込みができることを証明しました。

7月25日の朝6時（UTC）にRCEが成立し、同日15時30分までにプルリクエストの作成に成功。研究者はその後すぐにBugcrowd（バグバウンティの仲介サービス）を通じてOpenAIに報告しています。

決定打はClaude Opus 5：Opus 4.8では失敗した理由

今回のニュースが世界中で注目された最大の理由は、「誰が」ではなく「何を使って」侵入したかにあります。

Hacktron AIは当初、Claude Opus 4.8を使って攻撃コードの開発に挑んでいました。しかしOpus 4.8は、ASLR（メモリの配置をランダムにして攻撃を難しくする防御機能）が有効な環境では、何度セッションを重ねても動くコードを作れませんでした。

転機は7月24日の夜です。AnthropicがClaude Opus 5をリリースしました。研究者は数時間後に同じ課題をOpus 5に与えたところ、ARM64のMac環境で約3時間、その後x86-64（一般的なサーバーのCPU）向けの移植にも成功したと記録しています。

Hacktron AIのCTOであるMohan Pedhapati氏は、TechCrunchに対しこう語っています。「AIは攻撃コード開発に必要だった希少な専門知識を減らしている。かつて数か月かかった作業が、いまは数日で終わる」。

コスト面も衝撃的です。今回の調査を含む「HEIF Heist」と名付けた2か月間のプロジェクト全体で、AIの利用料は3,000ドル（約47万円）未満でした。AIセキュリティ企業Gray SwanのMatt Fredrikson CEOは「月200ドルあれば、誰でもこれらのツールを使ってOpenAIのような企業をハッキングできる」と警鐘を鳴らしています。

なお、Anthropicは本件についてコメントを控えています。また、Opus 5には、後継のMythosシリーズのようなサイバー能力に関する利用制限はかかっていなかったとTechCrunchは指摘しています。

OpenAIとDiscourseの対応：14時間で修正、報奨金は6,500ドル

対応のスピードは、双方とも非常に速いものでした。時系列で整理します。

  • 7月25日 08:00〜10:00（UTC）：Hacktron AIがBugcrowd経由でOpenAIに報告
  • 7月25日 22:49：OpenAIが修正完了を確認（報告から約14時間）
  • 7月26日：DiscourseがHackerOne経由の報告に返信
  • 7月27日：Discourseが修正版を完成。画像処理のサンドボックス化（隔離）も追加
  • 7月28日：Discourseが公式アドバイザリ「GHSA-vhm9-85gw-x335」を公開。脆弱性にはCVE-2026-32882が割り当てられた
  • 9月1日：OpenAIが6,500ドルの報奨金を支払い、案件をクローズ

OpenAIは声明で「コミュニティのサインイン用トークンの権限を絞り込み、影響を受けたトークンとセッションを無効化した」と説明しています。また「連絡を取り、調査結果を共有してくれた研究者に感謝する」ともコメントしました。

ちなみに報奨金が6,500ドルにとどまったのは、OpenAIによると「発見の対象がOpenAI自身のコードではなくDiscourseだったため」です。内部コードに到達できた重大さを考えると安すぎるのでは、という声も海外では上がっています。

従来の攻撃・他のAIセキュリティツールとの比較

今回の事件を、これまでのハッキングや、他のAIセキュリティの取り組みと比べてみましょう。

従来のエクスプロイト開発との違い

メモリ破壊系の脆弱性を「実際に動く攻撃コード」に仕上げる作業は、セキュリティの世界でも最も難易度が高い領域でした。世界に数百人しかいないと言われる専門家が、数週間から数か月かけて取り組む仕事です。

Hacktron AIはこの状況を「複雑さによる守りは、AIが希少な技能を計算資源に変換したことで消えた」と表現しています。つまり、お金と時間をかければ誰でも高度な攻撃を作れる時代になったということです。

他のAIセキュリティツールとの位置づけ

AIを守りに使う動きも同時に進んでいます。たとえばGoogleは2026年9月、バグ発見AI「Mantis」をオープンソースで公開しました。AnthropicもMythosシリーズでは、サイバー攻撃に使える能力を一部の企業や政府機関に限定して提供する方針をとっています。

Hacktron AI自身も、本業は「コードの変更を攻撃者の目線で毎回テストするAIセキュリティエンジニア」の開発です。今回の侵入は、その能力を証明するデモでもありました。

整理すると、攻撃側のAI（汎用モデルの悪用）、守り側のAI（Mantis、Hacktronなど）、そしてモデル提供側の制限（Mythosの提供先限定）という三つ巴の競争が始まっているのです。

日本市場への影響：あなたの会社は大丈夫？

「OpenAIの話でしょ」と思ったら、少し立ち止まってください。今回の脆弱性は、日本の企業やサービスにも直接関係します。

Discourseや画像処理ライブラリを使っている企業

Discourseは、日本でも開発者コミュニティや製品サポートフォーラムで広く使われています。もしDiscourseの古いバージョンを自社サーバーで動かしているなら、いますぐ最新版へのアップデートが必要です。

さらに重要なのは、Discourseを使っていなくても、ImageMagickやlibheifで「ユーザーがアップロードした画像」を処理しているサービスはすべて対象だという点です。ECサイトの商品写真、SNSのプロフィール画像、社内ポータルの添付ファイル。iPhoneで撮ったHEIC写真を受け付けているサービスなら、どこでも同じ穴が開いている可能性があります。

SSOを導入している企業

ある中堅IT企業の情報システム担当者を想像してみてください。社内の掲示板、勤怠システム、経費精算、そしてChatGPT Enterpriseを、すべて1つのIDでログインできるようにしました。便利ですし、社員にも好評です。

しかし今回の事件が示したのは、一番守りの弱いサービスが乗っ取られると、その合鍵で一番重要なサービスまで開いてしまうという現実です。掲示板のトークンが、コーディングAIやGitHubの書き込み権限まで持っていていいのか。権限は「最小限」に絞るのが原則です。

AIエージェントを業務に組み込んでいる企業

もう1つの教訓は、AIエージェントの権限です。今回、研究者は乗っ取った社員のCodexに「PRを開いて」と頼むだけで内部コードに書き込めました。

日本でもClaude CodeやCodex、GitHub Copilotを社内リポジトリに接続する企業が急増しています。AIエージェントに書き込み権限を与えるなら、「そのアカウントが乗っ取られたら何が起きるか」を先に考えておく必要があります。

よくある質問（FAQ）

Q1. OpenAIのユーザー情報やChatGPTの会話は漏れたのですか？

いいえ。今回はバグバウンティの枠内で行われた調査で、研究者は内部アクセスを証明した時点で即座にOpenAIに報告しています。一般ユーザーのデータが盗まれたという報告はありません。

Q2. Claudeは「ハッキングを手伝うAI」なのですか？

そうではありません。Claudeはコードの解析やデバッグに優れた汎用のAIモデルで、その能力がセキュリティ研究にも使えたということです。ただし「防御にも攻撃にも使える」両刃の剣であることは事実で、Anthropicは後継モデルのMythosでは提供先を限定しています。

Q3. 報奨金6,500ドルは妥当な金額ですか？

OpenAIは「発見の対象がDiscourseのライブラリだったため」と説明しています。一方で、内部コードへの書き込み権限まで到達した重大さを考えると低すぎるとの意見も海外メディアで見られます。AIの利用コスト約47万円に対し、報奨金は約102万円でした。

Q4. 自分の会社で今すぐできる対策は？

3つあります。①libheif、libde265、ImageMagickを最新版に更新する。②画像変換処理をサンドボックス（隔離環境）で動かす。③SSOトークンやAIエージェントの権限を「その仕事に必要な最小限」に絞る。特に③は設定の見直しだけでできる対策です。

Q5. Opus 4.8とOpus 5で何がそんなに違ったのですか？

Hacktron AIの記録によると、Opus 4.8はASLRが有効な本番に近い環境で動く攻撃コードを作れませんでした。Opus 5は同じ課題を数時間で解き、さらに別のCPUアーキテクチャへの移植まで成功しました。モデルの世代が1つ変わるだけで、「できない」が「できる」に変わった例です。

まとめ

  • Hacktron AIの3人チームが、Claude Opus 5を使い72時間以内にOpenAIの内部monorepoへ到達した
  • 入口はフォーラムの画像処理ライブラリlibheifのバグ（CVE-2026-32882）。SSOの過剰な権限と連鎖した
  • Opus 4.8では失敗、Opus 5リリースの数時間後に成功。AIの進化が攻撃力に直結した
  • OpenAIは約14時間で修正し、報奨金6,500ドル（約102万円）を支払った
  • 日本企業も、画像処理ライブラリの更新とSSO・AIエージェントの権限最小化が急務

まずは自社で「iPhoneの写真をアップロードできるサービス」と「1つのIDで入れるサービスの一覧」を書き出し、どこが一番弱いかを確認してみましょう。

参考文献