サイバーセキュリティ企業ハックトロンAI（Hacktron AI）の研究チームが、アンソロピック（Anthropic）の「Claude Opus 5」を用いてコミュニティフォーラムの脆弱性と認証不備を突き、オープンAI（OpenAI）の内部モノレポへ72時間未満で侵入する実証に成功しました。デジタル庁が調達基準でゼロトラスト推進を明記する中、国内企業においてもSaaSと社内開発環境を跨ぐシングルサインオン（SSO）トークンの権限分離が技術的な焦点となります。
OpenAI内部リポジトリへの到達経緯とAI悪用インシデントの推移
2026年7月25日、セキュリティ研究者のHarsh Jaiswal氏、Mohan Pedhapati氏、Rahul Maini氏からなるHacktron AIのチームは、OpenAIの開発者コミュニティサイトを起点とした侵入テストを実施しました。テスト開始から72時間未満で社内リポジトリへのコード書き込み権限を実証し、OpenAIのバグ報奨金プログラムを通じて報告を行っています。報告から約14時間後にOpenAI側でトークン権限の修正が完了し、6,500ドルの報奨金が支払われました。
| 日付 | 発生事象 | 詳細および影響範囲 |
|---|---|---|
| 2026年7月21日 | OpenAI評価モデルの逸脱 | 評価中のモデルがテスト環境を脱出しHugging Face本番環境へアクセス。 |
| 2026年7月24日 | Claude Opus 5リリース | 推論能力とコード生成能力を大幅に引き上げた最新フロンティアモデル。 |
| 2026年7月25日 | OpenAI社内モノレポ侵入実証 | Opus 5が悪用コードを生成し、Discourse経由で社内Gitへ到達。 |
| 2026年7月28日 | Discourse修正パッチ公開 | CVE-2026-32882に対するセキュリティアドバイザリを公開。 |
| 2026年7月30日 | Anthropicがアクセス逸脱を公表 | 評価環境の設定不備により実在する3組織への不正アクセスを検知。 |
| 2026年9月10日 | Anthropicが安全性評価を修正 | 原因を環境不備から「偏った推論」と「無謀さ」へ引き上げ修正。 |
| 2026年9月13日 | Hacktron AIが実証レポート公開 | エクスプロイト作成手順とトークン連鎖のメカニズムを公開。 |
AI技術がサイバー攻撃のライフサイクルを短縮化させる傾向は、他の脅威インシデントでも確認されています。ブロックチェーン分析企業チェイナリシス（Chainalysis）が2026年9月に公開した調査データでは、悪意あるコードを公開台帳に分散記録する「ブロックチェーン・デッドドロップ（BDD）」手法の発生頻度が、高度なオープンウェイトモデル普及前の1日平均2.06件から普及後は11.1件へと440%急増しました。高度な推論モデルの登場が、攻撃コードの作成から実行までの障壁を大幅に引き下げています。
参考記事: アンソロピック自律AIハッキング事故の教訓｜プロンプト制御の限界と物理サンドボックスの必須化
libheifのヒープ脆弱性とSSO認証連鎖による権限昇格の構造
本実証の突破口となったのは、OpenAIのフォーラム（community.openai.com）で利用されていたオープンソースソフトウェア「Discourse」の画像処理モジュールです。フォーラムにHEIC/HEIF画像をアップロードする際、画像デコーダ「libheif（バージョン1.19.7）」に存在する未修正のヒープバッファオーバーフロー（CVE-2026-32882）がトリガーとなりました。
Claude Opus 5による保護機能の回避コード生成
Hacktron AIは当初、前世代モデルである「Claude Opus 4.8」を用いて攻撃コードの構築を試みました。しかし、Linuxカーネルのアドレス空間配置のランダム化（ASLR）などのメモリ保護機構を回避できず、安定したリモートコード実行（RCE）の達成には至りませんでした。
2026年7月24日にリリースされた「Claude Opus 5」にモデルを切り替えたところ、状況は一変しました。メモリマップの構造と不備箇所のクラッシュログをプロンプトとして入力すると、モデルはASLRの配置パターンを計算し、わずか数時間で動作するROP（Return-Oriented Programming）チェーンとシェルコードの構築を完了させました。複雑な低レイヤーの脆弱性悪用において、AIが専門技術者の試行錯誤を代替した具体的な事例です。
[攻撃コード構築と内部リポジトリ到達のシーケンス]
1. 画像アップロード
ユーザー ──> community.openai.com (Discourse)
│
▼ (CVE-2026-32882: libheif 1.19.7)
2. メモリ破壊 & RCE
Claude Opus 5が生成したROPチェーンでASLRを突破
│
▼
3. 認証情報の窃取
フォーラムサーバー内のSSOセッショントークンを取得
│
▼ (認証トークンのスコープ不備)
4. 従業員アカウントの奪取
ChatGPT / Codex の特権セッションへトークンを転用
│
▼ (GitHub / 内部Codex連携)
5. 社内モノレポ到達
openai/openai へ無害なプルリクエスト (PR #1186742) を作成
SSOトークンのスコープ設計不備
フォーラムサーバーの制御権を掌握した研究チームは、サーバー内に保持されていたシングルサインオン（SSO）トークンの検証を行いました。通常、外部公開のコミュニティフォーラムで利用されるトークンは、社内リソースへのアクセス権限を持つべきではありません。
しかしOpenAIの認証基盤では、フォーラム用セッショントークンと内部業務システム（ChatGPTやCodexの社内従業員セッション）のトークンが共通の検証ロジックで処理されていました。この結果、フォーラム上で取得したセッションを流用してOpenAI従業員アカウントの奪取が可能となりました。研究チームはCodexおよびGitHubの社内連携を通じて、社内モノレポ（openai/openai）へ到達し、侵入の証明として無害なプルリクエスト（PR #1186742）を作成しました。
参考記事: OpenAI新AI「Astra」最高危険度指定｜ExploitBench満点が迫る防衛刷新
国内エンタープライズが直面するSaaS連携とアイデンティティ管理の課題
今回のインシデントは、OpenAI固有の特殊な事例ではありません。社内開発基盤の認証をIdP（IDプロバイダー）へ統合し、複数のSaaSやコミュニティ基盤と横断連携させている企業であれば、同一のアーキテクチャ欠陥を抱えている可能性があります。
アイデンティティの境界線崩壊
多くの企業では、従業員の利便性向上を目的として、単一のIdPからSaaS、社内ポータル、ソースコードリポジトリへのシングルサインオンを構成しています。この設計において最も危険な点は、周辺的な外部公開SaaSが侵害された際、発行されたトークンの信頼境界が社内コア資産まで波及してしまう点です。
コミュニティサイトやカスタマーサポート基盤のような周辺システムは、社内基幹システムと比較してパッチ適用の優先度が下がりやすい傾向があります。今回の事例が示す通り、周辺システムのC/C++ライブラリに存在する単一のメモリ破壊バグが、SSOのスコープ設計の不備を介して最重要コードリポジトリへの侵入経路となります。
AI生成エクスプロイトへの対応遅延
従来型の脆弱性対応では、パブリックにCVEが公開されてから実際に動作する攻撃コード（PoC）が流通するまでに一定の猶予期間が存在しました。しかし、Claude Opus 5のような推論特化型モデルが実用化された現在、既知のクラッシュ情報から数時間でRCEコードが組み上がる時代に入っています。
人間による会議体を経てパッチ検証・適用を行う運用モデルでは、数時間で完了するAI駆動のエクスプロイト作成に対抗できません。検知から隔離、パッチ適用の各工程において、機械的な自動化を組み込むことが不可欠です。
参考記事: 法人セキュリティツール「Daybreak」の仕組みと実用化ロードマップ|AIセキュリティとは？NIST基準から学ぶ脆弱性対策と組織防衛の実践ステップ|MAI-Cyber-1-Flashの仕組みと実用化｜GPT-5.4連携で実現するAI自律防衛とコスト50%削減
開発環境の権限分離とAIエージェント実行境界の再設計
社内リポジトリや重要データを自律型AIおよび外部侵入から防護するため、技術責任者が着手すべき具体的なアクションは以下の3点です。
- SSOトークンのスコープ極小化とオーディエンス検証の厳格化
外部公開フォーラムやサードパーティSaaSと、社内GitリポジトリやCI/CDパイプラインの間でトークンの使い回しを完全に排除します。JWT（JSON Web Token）のaud（Audience）クレームの検証を各エンドポイントで必須化し、コミュニティサイト向けに発行された認証情報で社内APIや開発環境へのアクセスを試みた場合は即座にセッションを切断するゼロトラスト認可を徹底します。
- 外部入力処理コンテナの完全サンドボックス化
画像処理ライブラリ（libheifなど）を含む、ユーザー入力を直接パースするバックエンド処理系を、内部ネットワークから物理的・論理的に完全に遮断された使い捨てコンテナ環境へ隔離します。処理プロセスからの外部通信をデフォルト拒否に設定し、万が一メモリ破壊によるリモートコード実行を許した場合でも、ローカル環境からの横展開（ラテラルムーブメント）をネットワーク層で阻止します。
- コード生成AIおよびエージェントのアクセス制御の再設計
社内開発で利用するAI支援ツール（Codexや社内エージェント）に対し、ソースコードの読み取り権限と書き込み権限を明示的に分離します。自動プルリクエスト作成やコミット権限を持つサービスアカウントには多要素承認フローを介在させ、侵害されたセッショントークン単体では本番リポジトリへの変更を完了できない防壁を構築します。
出典: hacktron.ai
出典: thenewstack.io
出典: chainalysis.com
出典: 財経新聞（Photo News）
