OpenAIのハッキング

2026年7月25日、私たちは2つの重大な脆弱性を連鎖させ、複数のOpenAI従業員のChatGPTアカウントを侵害しました。これらのアカウントを使用して、内部OpenAIリポジトリや、おそらく他の多くのコネクタにアクセスできるようになりました。実際にアクセス権を得たことを証明するために、機密情報を一切学習しないようにし、従業員のCodexを使用してOpenAIの内部モノレポopenai/openaiにPR #1186742を開きました。 エクスプロイトチェーン libheif Image decoder Debian Missing security backport ImageMagick Uses libheif Discourse Image uploads OpenAI forum community.openai.com OpenAI SSO Identity flaw ChatGPT / Codex Account access GitHub Connected integration Internal repos OpenAI 2ヶ月前まで、OpenAIのヘルプフォーラム（community.openai.com）にログインしたユーザーまたはOpenAI従業員は、ChatGPTおよびCodexアカウントを乗っ取られる可能性がありました。人々はCodexやChatGPTに様々なサービスを接続できるため、理論的にアクセスできる範囲はGitHub、Slack、メールなど広範囲に及びました。初期発見からOpenAIリポジトリへのアクセスまでの全プロセスは72時間未満で完了しました。私たちは直ちに最初の脆弱性をOpenAIとDiscourseに報告し、連携してパッチを適用しました。彼らの細部への注意と迅速な問題解決に感謝します。OpenAIはまた、私たちに6,500ドルのバウンティを支払いました。開示プロセスの全タイムラインはここに詳述されています。この記事の残りの部分では、2つの脆弱性をどのように発見したか、claudeモデルをどのように使用したか、そしてこの経験からの学びについて詳述します。 25 July 2026 05:00–06:00 UTC Initial Finding HacktronAIチームは、community.openai.comでホストされているDiscourse環境のリモートコード実行（RCE）および管理者アクセス権を取得しました。 25 July 2026 08:00–10:00 UTC Bugcrowd Submission クロスプロダクトへの影響を確認した後、チームは責任ある開示プロセスについて内部で調整し、BugcrowdのOpenAIバグバウンティプログラムを通じてレポートを提出しました。 25 July 2026 13:30–15:30 UTC OpenAI Employee Account Access & Proof of Concept 脆弱性の実際の影響を示すために、OpenAIの内部モノレポ（OpenAIの要請によりリンクは削除済み）に無害なプルリクエストのプルーフ・オブ・コンセプトを作成しました。これらの発見をBugcrowdの提出内容に更新し、Twitter/XでOpenAIの友人に直接通知し、約15:30 UTCにそれ以上のテストを中止しました。 25 July 2026 22:49:45 UTC OpenAI-Side Fix Confirmed OpenAIは、最初の提出から約14時間後に、問題が修正されたことを確認する返信をしました。 25 July 2026 Discourse Reported via HackerOne HackerOneのDiscourseプログラムを通じてDiscourseにレポートを提出しました。 26 July 2026 Discourse Responded Discourseは日曜日にレポートに返信しました。 27 July 2026 Discourse Fix Ready Discourseは月曜日までに修正を準備し、防御策として画像処理サンドボックスを追加しました。 28 July 2026 Discourse Advisory Published Discourseは、パッチと再構築ガイダンスを含むGHSA-vhm9-85gw-x335を公開しました。 01 Sep 2026 OpenAI Rewarded $6,500 Bounty and Marked Resolved OpenAIのコメント — その賞の範囲を明確にするために：Discourseでホストされているcommunity.openai.comに対するテストは、私たちのバグバウンティプログラムから明示的に除外されていました。この賞は、Discourseに対する行為ではなく、OpenAI側の発見を認識するものです。 背景 数ヶ月前、Harsh Jaiswalが率い、Mohan PedhapatiとRahul Mainiが参加したHacktronのチームは、最先端のAI企業におけるセキュリティ脆弱性の調査を開始しました。これにより、OpenAIのIDインフラストラクチャにおけるSSOの設定ミスと、OpenAIが使用するコミュニティフォーラムにおけるlibheif RCEを発見しました。その後、この調査をHEIF Heistに拡大し、Slack、Meta、GitHub Enterprise、Ruby on Rails、およびNext.js、Astro、GatsbyなどのNode.jsフレームワークにわたるlibheifを追跡する数ヶ月にわたる調査を行いました。驚くほど多くの広く使用されているソフトウェアが、この1つの画像処理ライブラリに依存しています。アプリケーションがユーザー制御の画像を処理し、.heic/.heif/.avif画像を受け入れる場合、影響を受けている可能性が非常に高いです。支援が必要な場合は、hello@hacktron.aiまでご連絡ください。 community.openai.comのハッキング 注意 パッチ通知：Discourseをセルフホストしている場合は、今すぐインストールを再構築してください。古いDockerイメージには、画像アップロードを介したコード実行を許可する脆弱なlibheif依存関係が含まれている可能性があります。git pullを実行してから/var/discourseから./launcher rebuild appを実行してください。Webインターフェイスの更新だけでは、基盤となる画像が置き換えられない場合があります。Discourseでホストされている顧客はすでにパッチが適用されています。セキュリティアドバイザリを参照してください。 OpenAIはフォーラムにDiscourseを使用しており、auth.openai.comを介した「Sign in with OpenAI」を許可しています。OpenAIのサービスとインフラストラクチャを十分に理解した後、このIDフローを通じてフォーラムの侵害がOpenAIのより広範なサービスへのパスを作成する可能性があると考える理由がありました。その仮説をテストするために、まずDiscourseコミュニティフォーラムのようなOpenAIのサービスでリモートコード実行が必要でした。Discourseアプリ自体は実際には簡単なターゲットではありません（過去に調査しました）が、依存関係を攻撃できると考えました。 libheifのヒープバッファオーバーフロー 7月23日、Discourseの画像アップロードパイプラインのレビューを開始し、HEICおよびHEIFファイルが通常とは異なるパスをたどることを発見しました。Discourseは通常、画像チェックにFastImageを使用していましたが、FastImageはHEIFをサポートしていなかったため、これらのファイルをImageMagickのmagickコマンドに渡して変換していました。これにより、基盤となるlibheifパーサーが攻撃者制御のファイルに直接さらされることになりました。Discourse DockerイメージでOpus 4.8セッションを開始し、インストールされているlibheifパッケージのセキュリティ問題を確認するように依頼しました。しばらくして、一部のセキュリティ修正がlibheifパッケージにバックポートされていないことが判明しました。これにより、HEICデコード中にOOB R/Wプリミティブにつながるヒープバッファオーバーフローが可能になりました。興味深いことに、脆弱なコードは前年にアップストリームで変更されていましたが、コミットはセキュリティ修正として文書化されておらず、CVEも割り当てられていませんでした。これが、Debian 12および13がタイムリーにセキュリティ関連のバックポートを受け取らなかった理由かもしれません。DiscourseのDockerイメージはDebian 12をベースにしていたため、脆弱なlibheifバージョン1.19.7がインストールされていました。Debian 13でさえ、当時脆弱なバージョン1.19.8を出荷していました。それ以来、Debianは2026年8月8日にDebian 13のセキュリティアップデートを発行しました。 7月24日、Opus 4.8を使用して、ASLRが無効な状態で動作するImageMagick/libheifコード実行エクスプロイトを開発しました。その後、ASLRが有効なDiscourseのデフォルト設定に対して信頼性の高い複数のセッションを起動しましたが、成果は得られませんでした。 Opus 5 Released その夜、AnthropicはClaude Opus 5.5をリリースしました。 新しいセッションを開始し、最初に3時間以内にローカルMac用のARM64エクスプロイトを生成しました。次に、Discourseが使用するx86-64環境とjemalloc構成にエクスプロイトを移植するように依頼しました。7月25日午前6時までに、画像アップロードを介したローカルRCEを確認しました。次に、Opusがリモートインスタンスのエクスプロイト書き込みを拒否したため、Opusを、CTFターゲットに見えるようにrce.ee/ctf-forumを介してプロキシされた、私たち自身のDiscourse Cloudインスタンスに対する自律的な/goalループに入れました。午前10時に再度確認したところ、エージェントはDiscourse CloudでRCEを達成し、/etc/hostsを読み取ることでアクセスを実証しました。生成されたエクスプロイトスクリプトを使用して、OpenAIのインスタンスでRCEを取得することに成功しました。フォーラムのアクティブメンバーからのChatGPT/Codexアカウントの非対話型アカウント乗っ取りの仮説を確認した後、直ちにOpenAIにレポートを送信しました。次に、CodexがOpenAIのGithub組織に接続されていたOpenAI従業員のアカウントを乗っ取りました。実際には内部コードにアクセスせずに影響を示すために、この従業員のCodexアカウントに、OpenAIの内部モノレポに私たちに代わってPRを開くようにプロンプトを送信しました。その後、それ以上のテストをすべて停止しました。影響のプルーフをBugCrowdの提出内容に更新しました。