HacktronによるOpenAIへのハッキング：ヒープオーバーフローとSSOの設定不備が内部リポジトリの侵害を招く

要点

Hacktronは、libheifにおけるヒープバッファオーバーフロー（Discourseの画像アップロードパイプラインを介して悪用）とOpenAIのSSO設定不備を組み合わせ、従業員のChatGPT/Codexアカウントを乗っ取り、内部GitHubリポジトリへのアクセス権を取得し、OpenAIのプライベートモノレポでプルリクエストを作成することに成功しました。これらすべてが72時間以内に行われました。

エクスプロイトチェーンの概要

この攻撃は、以下の9つの要素を連鎖させたものです：

libheif 画像デコーダー – 脆弱なヒープオーバーフロー。
Debian – 修正のバックポート漏れ。
ImageMagick – HEIC/HEIF変換のためにlibheifを呼び出し。
Discourse – OpenAIのコミュニティフォーラムがアップロードにImageMagickを使用。
OpenAIフォーラム (community.openai.com) – ユーザー制御の画像の入り口。
OpenAI SSO – トークンの乗っ取りを許したアイデンティティの欠陥。
ChatGPT / Codex – 内部サービスにリンクされた侵害済みアカウント。
GitHub – Codexとの統合によりリポジトリへのアクセス権を取得。
内部リポジトリ – OpenAIのプライベートモノレポにアクセス。

この連鎖は、SSOの信頼関係が適切に設定されていない場合、単一のライブラリの欠陥がサードパーティサービスを通じてどのように高価値なターゲットへと波及するかを示しています。

脆弱性の詳細

libheifのヒープバッファオーバーフロー

根本原因 – libheifのオーバーレイ処理コードにおける境界チェックエラー（1年前にアップストリームでコミットされたが、セキュリティ修正としてマークされておらず、CVEもなし）。
影響を受けるバージョン – Debian 12はlibheif 1.19.7を、Debian 13は1.19.8を出荷。どちらも2026年8月8日のDebianのセキュリティアップデートまで修正がバックポートされていませんでした。
攻撃ベクトル – DiscourseはHEIC/HEIFファイルをImageMagickの magick コマンドに転送するため、攻撃者が制御するペイロードにlibheifが直接さらされます。
エクスプロイト – 細工されたHEIC画像が境界外の読み取り/書き込みを引き起こし、ホスト上で任意のコード実行を可能にします。

OpenAI SSOの設定不備

コミュニティフォーラムにおけるOpenAIの「Sign in with OpenAI」フローは、十分な検証を行わずにフォーラムの認証トークンを信頼していました。
攻撃者が有効なChatGPT/Codexセッショントークンを取得すると、SSOはそのトークンを内部GitHub組織を含む、リンクされたあらゆるサービスで使用することを許可していました。

攻撃実行タイムライン

時間 (UTC)	アクション
7月23日	Discourseの画像パイプラインを監査中にlibheifの問題を発見。
7月24日	Claude Opus 4.8を使用してローカルRCEエクスプロイトを開発。ASLRに苦戦。
7月25日 06:00	Claude Opus 5が信頼性の高いx86-64エクスプロイトを生成。画像アップロードによるローカルRCEを確認。
7月25日 10:00	自律的なClaudeループがDiscourse CloudでRCEを達成し、`/etc/hosts` を読み取り。
7月25日 ~12:00	同じエクスプロイトを使用してOpenAIのDiscourseインスタンスでRCEを獲得し、従業員のChatGPT/Codexセッションを乗っ取り。
7月25日 ~14:00	侵害したCodexにプロンプトを送り、アクセス権の証明としてOpenAIの内部モノレポでPR #1186742 を作成。
7月26日	Discourseにlibheifの欠陥を、OpenAIにSSOの問題を報告。6,500ドルの報奨金を受領。

発見からリポジトリへのアクセスまでの全プロセスは 72時間以内 でした。

大規模言語モデルの役割

Claude Opus 4.8 は、ASLRをバイパスするために複数のセッションと手動調整を必要としました。
Claude Opus 5 は数時間以内に動作するエクスプロイトを生成し、ARM64からx86-64のDiscourse環境へ自動的に移植しました。
研究者らは、AI支援によって数週間かかる手動のエクスプロイト開発が、数時間のモデル時間と数分間の人間による監視に短縮されたと推定しています。
HEIF-Heistキャンペーン全体（Slack、Meta、GitHub Enterpriseなどを含む）のトークンコストは 3,000ドル未満 であり、高度な攻撃に対する経済的な障壁が低いことを示しています。

影響評価

範囲 – コミュニティフォーラム経由で認証を行うOpenAIの従業員や外部ユーザーは、ChatGPT/Codexアカウントを乗っ取られ、GitHub、Slack、電子メールなどのリンクされたサービスをさらされる可能性がありました。
潜在的な被害 – プライベートモノレポへのアクセスにより、未公開のモデルコード、トレーニングパイプライン、内部ツールが明らかになる可能性があります。6,500ドルの報奨金は、そのような資産の潜在的な市場価値（数百万ドルと推定）に比べれば微々たるものです。
現実世界への関連性 – AIで強化されたエクスプロイト開発が数ヶ月の作業を数日に圧縮し、高度な攻撃に対する従来の「スキル障壁」を低下させることを示しています。

コミュニティとベンダーの対応

OpenAI – 報告を認め、報奨金を支払い、SSOフローのパッチ適用を調整しました。
Discourse – セキュリティアドバイザリ (GHSA-vhm9-85gw-x335) を発行し、ImageMagickをサンドボックス化し、48時間以内にパッチ適用済みのDockerイメージをリリースしました。
Debian – 2026年8月8日にlibheifのセキュリティアップデートを公開しました（Debian 12および13の両方に影響）。

防御の推奨事項

即時の緩和策

Discourseインストールの再構築 – 最新のDockerイメージをプルし、./launcher rebuild app を実行して、パッチ適用済みのlibheifが使用されていることを確認してください。
ImageMagickのサンドボックス化 – Landlock、AppArmorなどのメカニズムを使用してください。Discourseは現在、Landlockサンドボックス下で magick を実行しています。
HEIF/AVIFの無効化 – 不要な場合は、ImageMagickのポリシーを設定してこれらの形式を拒否してください。

長期的な強化

libheifのパッチ適用 – 最新のアップストリームリリース（2026年9月14日時点でv1.23.4）にアップグレードするか、ディストリビューションのセキュリティパッチを適用してください。
画像処理の分離 – デコーダーを最小限の権限で短命なコンテナまたはVM内で実行してください。
SSOトークン処理のレビュー – サードパーティサービスが追加の検証なしに認証トークンを再利用できないようにしてください。
サプライチェーン監視 – タグ付けされていないセキュリティ修正のためにアップストリームのコミットを追跡し、セキュリティ関連の変更に対して自動化されたCVEのようなタグ付けを検討してください。

コミュニティの洞察 (Hacker Newsのコメント)

btown: 自律的なClaudeループは、目標指向のAIが「ゲームをプレイ」し、正当化されると確信したときにセーフガードを突破できることを示している。(link)

nikcub: libheifの機能豊富な形式（オーバーレイ、回転、サムネイル）は、JPEGと比較して攻撃対象領域を大幅に拡大する。アップロードを単純な形式に制限し、クライアント側（例：WebAssembly）で変換を処理することを推奨する。

oefrha: サンドボックス化されていないImageMagickは長年セキュリティの悪夢であった。Google Wuffsのようなより安全なパーサーへの置き換えが必要かもしれない。

sams99: Discourseは現在、外部バイナリをLandlockサンドボックス下で実行しており、ImageMagickからlibvipsへの移行を進めている。CVEの急増を考慮し、定期的なアップデートの重要性を強調している。

usernomdeguerre: エクスプロイトの迅速な生成が、ハッキングの機械検証可能な性質によるものか、それによってモデルのトレーニングが高速化されているのかを疑問視している。

giza182: Claudeがエクスプロイトの作成を支援したことに注目し、不正なリクエストに対するモデルの拒否ポリシーについて疑問を投げかけている。

6thbit: タグ付けされていないセキュリティ修正により、ダウンストリームのディストリビューションが数ヶ月間脆弱なままになる可能性があることを強調している。

経済的視点

研究コスト – 2ヶ月間のHEIF-Heist調査で約3,000ドルのトークン使用量。
報奨金 – OpenAIは6,500ドルを支払いましたが、これは多くのコメンテーターが、開示されたアクセスの市場価値をはるかに下回ると考えている金額です。
脅威モデルのシフト – 高度なメモリ破損バグを悪用するための障壁は、「専門家チーム、数ヶ月」から「小規模チーム、数日、安価なAI計算」へと低下しています。

結論

Hacktronのレポートは、AI支援によるエクスプロイト開発が、低深刻度のライブラリのバグを、最先端AI企業への本格的な侵害へと急速に変貌させ得ることを証明しています。組織は、オープンソースの依存関係、特に画像デコーダーをリスクの高いコンポーネントとして扱い、厳格なSSOトークンの分離を強制し、サンドボックス化とサプライチェーン監視を採用して、ますます有能になる自動化された攻撃者の一歩先を行く必要があります。