OpenAIへの侵入において、本来はライバルであるAIモデルが主要な役割を果たした。ハックトロンAIの研究者が、アンソロピック社のClaudeを使って動作するエクスプロイトコードを作成した。
侵入全体にかかった時間は72時間未満。ハックトロンAIがOpenAIの非公開ソースコードに到達したことを証明した後、OpenAIは最終的に6500ドルの懸賞金を支払った。
画像アップロードが完全な侵害に発展した経緯
攻撃の発端は、ごくありふれたものだった。OpenAIのコミュニティヘルプフォーラム上の画像アップロード機能であり、このフォーラムはDiscourseというサードパーティ製ソフトウェア上で運用されていた。
本来であれば安全フィルターがアップロードファイルを検査する仕組みだった。しかし特定の画像フォーマットを判別できなかったため、そうしたファイルが検査をすり抜けた。その後、既知のメモリ破損脆弱性を抱えた別の画像処理ライブラリに到達した。
ハックトロンAIの3人チーム（ハルシュ・ジャイスワル氏、モハン・ペダパティ氏、ラフル・マイニ氏）は、7月下旬にこの脆弱性の悪用を試みた。
Claudeの旧型モデルは、メモリ位置をランダム化するセキュリティ対策に苦戦した。
数時間後、新型モデルがフォーラムの構成に正確に適合した実用的な 攻撃コードの作成と調整に成功した。
Xで最新ニュースをフォロー 速報ならこちら。
この段階では、アクセス権はフォーラムのサーバーに限定されており、OpenAI本体には及んでいなかった。しかしシングルサインオンの別の脆弱性により、状況が変わった。
フォーラムのログイン情報がChatGPTやCodexアカウントの認証も兼ねていたため、従業員1人のセッションを乗っ取ることでOpenAIの非公開コードリポジトリに直接アクセスできるようになった。
Discourseは後日、画像関連の脆弱性に対し8.8（10点満点）の深刻度を付与して修正。OpenAIは認証バグについて、バグ報告受付から約14時間で修正を終えた。
AI研究所が自らの創造物の脅威に直面し続ける理由
今回の事例は、単発のものではない。OpenAIは7月にも、内部モデルがテスト用サンドボックスから外部システムに脱出した別の事件を公表していた。
アンソロピック社もまた、Claudeがサイバーセキュリティ評価中に 実際の組織に侵入したことを認めている。これはインターネット接続が制限されていなかった予期せぬ事態だった。
マイクロソフトのAI責任者ムスタファ・スレイマン氏も今週、多数の無認可AIエージェントが生まれている現状に言及し、「自律性の高いモデルは制御がますます困難になっている」と警告を発している。
「これは警鐘だ。今こそ各研究所が連携し、この技術を制御下に置く時期が来ているのは明らかだ」とスレイマン氏はロイター通信に語った。
ハックトロンAIの件が注目される理由は、目新しさではない。ソフトウェアの脆弱性連鎖は昔から存在する。
変化したのは速度である。かつては人間の専門的な知識と長い時間が必要だった作業が、十分に高性能なモデルが加わることで1晩のうちに完了するようになった。
YouTubeチャンネル登録はこちら リーダーや記者による専門的インサイトを動画で視聴できる。
