Claude Opus 5でOpenAIフォーラムからプライベートリポジトリ侵入
25秒でわかる内容解説
3人のセキュリティ研究者がAnthropicのClaude Opus 5を自律型エージェントとして使い、OpenAIのユーザーフォーラムからプライベートGitHubリポジトリへ侵入した。モデルトークン費用は3,000ドル未満で、バウンティ報酬の6,500ドルを下回る効率で完了した。大規模AIモデルがメモリ破壊バグの修正から実サーバーでの実行、社内システムへの権限昇格までをほぼ自動で行う時代に入ったことを示す事例である。
Discourse脆弱性とSSOの権限結合
研究チームは2026年7月24日、OpenAIのコミュニティフォーラムで動作する画像処理ライブラリのヒープバッファオーバーフロー（メモリ上の領域を超えてデータを書き込む不具合）の修正をClaude Opus 4.8に依頼した。DiscourseはFastImageで画像をスクリーンするが、HEIC形式は対応していないためImageMagickのlibheifモジュールに処理を委ねていた。
この脆弱性はCVE-2026-32882として識別され、CVSS severity scaleで8.8と高く評価された。
| 段階 | 対象 |
|---|---|
| 1 | HEIF画像アップロード |
| 2 | libheifオーバーフロー |
| 3 | フォーラムコード実行 |
| 4 | SSOトークン権限昇格 |
| 5 | Codexアカウント接続 |
| 6 | プライベートリポジトリ |
実行環境はDebian 12ベースのイメージで、メモリランダム化保護が有効な本番サーバーでも動作した。Anthropicは脆弱性発見の夜にClaude Opus 5をリリースした。研究チームは翌朝にOpus 5で同じバグを再テストし、約3時間でARM64アーキテクチャ向けのエクスプロイトを、さらに4時間でテストフォーラムのリモート実行を完成させた。
フォーラムでのコード実行は単なる一サイト障害に終わる。ここからがOpenAI本体への侵食だった。チームはSSO（Single Sign-Onの略。一つのIDで複数のサービスにログインできる仕組み）システムに権限過剰な欠陥を見出した。フォーラムのログイントークンが、リンクされたChatGPTやCodexアカウントのフルAPIアクセス権を持っているのだ。
社内従業員のCodexアカウントはOpenAIのGitHub環境と接続されていた。研究チームはそのアカウントを使って、プライベートなmonorepo（単一のリポジトリ）のREADMEファイルにプルリクエストを提出した。OpenAIのリクエストにより詳細情報は伏せられているが、外部から内部リポジトリの読み書きが可能であることが証明された。
Opus 4.8からOpus 5への進化とエージェント化
画像処理の脆弱性はOpenAI独自の実装ではなく、広く使われるDiscourseプラットフォームに起因する。FastImageがHEICやHEIF形式に対応していないため、DiscourseはImageMagickのlibheifモジュールに画像デコードを委ねていた。libheifのバージョン1.19.7にはパッチが当たっていたが、セキュリティ修正としてドキュメント化されずCVEも付与されなかった。
そのためDebianのバックポート対象外となり、フォーラム環境では依然として攻撃可能な状態が残っていた。
研究チームが最初にClaude Opus 4.8にエクスプロイト作成を依頼した際、モデルはOSのメモリランダム化（ASLR）がオフの環境でのみコード生成に成功した。本番サーバーのようにASLRが有効な場合、生成されたコードは安定して動作しなかった。AnthropicがOpus 5を出荷した夜、チームは同じバグで再テストした。
Opus 5はメモリ保護機能を考慮したコードを生成し、MacのARM64環境で動作するエクスプロイトを3時間で完成させた。
従来、メモリ破壊バグの突穿きはメモリレイアウトやアロケータ、OS内部の知識を要する専門分野だった。Opus 5の成功は、その複雑な作業の多くを大規模言語モデルに委ねられる時代に入ったことを示す。ターゲットをどこに設定するかで、セキュリティリサーチと攻撃開発の境界線が変化しつつある。
低コスト侵入とバウンティ報酬の非対称性
Hacker Newsなどの技術コミュニティでは、今回の侵入経路と費用対効果が議論された。HEIFアップロードから始まり、libheifのオーバーフロー、フォーラムのコード実行、権限過剰なSSOトークン、従業員のCodexアカウント、そしてGitHubプライベートリポジトリへのプルリクエスト提出。この一連のチェーンは、攻撃の分岐点が多岐にわたることを示している。
注目されたのは2ヶ月間のプロジェクトで消費されたモデルトークン費用が3,000ドル未満だった点だ。OpenAIはアカウント乗っ取りの脆弱性に対して6,500ドルのバウンティを支払った。トークン費用が報酬を大幅に下回る構造は、大規模AIモデルの利用コストが下がりつつあることを浮き彫りにした。
The ideal hacker workflow would be to gain access to an account or system with model access which you can use for further
理想的なハッカーのワークフローは、モデルアクセス権を持つアカウントやシステムに侵入し、それらを次の攻撃の基盤として利用することである。
コミュニティは、モデルアクセス権を持つアカウントを奪取することが、次の攻撃の基盤となる理想的なワークフローであると指摘した。OpenAIはcommunity sign-in tokensの権限を狭め、影響を受けたトークンとセッションを無効化した。研究チームは人間を介さずClaudeを自律型エージェントとして動かす実験も成功させ、目標とターゲットを与えて長時間稼働させた。
New Stackによる詳細確認とOpenAIの対応
The New StackはHacktron AIがClaudeを具体的にどのように使用したかについて確認を進めている。OpenAIのリクエストにより、プルリクエストの詳細情報は伏せられている。研究チームはHEIF Heistと名付けたプロジェクトの一環として、複数の主要テクノロジープラットフォームの画像処理基盤を約2ヶ月でスキャンした。
OpenAIは脆弱性対応として、コミュニティのログイントークンが持つ権限を狭め、関連するセッションを revoke した。Hacktron AIの公開資料には、Codexアカウント以外にもSlackやメールなどの接続サービスが暴露された可能性が記載されている。
AnthropicはOpus 5のリリース後、メモリ保護機能を考慮したコード生成能力を強化した。次回のClaudeモデルアップデートでは、メモリランダム化保護や本番サーバー環境でのエクスプロイト生成精度がさらに向上すると想定される。モデルトークンの価格低下と相まって、自律型セキュリティエージェントの活動範囲が拡大する見込みである。
用語の注釈
- heap buffer overflow
- ヒープ領域のバッファ境界を超えてデータを書き込むことでプログラムがクラッシュする。（参考：ヒープ領域とは？スタック領域との違いや具体的な管理方法を ...）
- SSO
- 一つのIDとパスワードで複数のサービスやシステムにログインできる仕組み。（参考：シングルサインオンの仕組みとは？5つの方式・メリットを解説 ...）
出典
- Claude couldn't hack OpenAI. Then Anthropic shipped Opus 5（Hacker News） · 議論