「OK, this is a big deal」——Opus 4.8は突破できず、Opus 5が一晩で成功させたOpenAI侵入の顛末

海外のXアカウント「Yuchenj_UW」が放った一文が、静かに広がりました。
「OK, this is a big deal」。

OK, this is a big deal:

3 researchers used Claude Opus 5 to turn an image upload bug into an OpenAI employee account takeover, then had the compromised employee’s Codex open a PR in OpenAI’s internal monorepo.

Their entire hacking cost less than $3000 in tokens.

Opus 4.8… pic.twitter.com/ppUyygXdua

— Yuchen Jin (@Yuchenj_UW) 2026年9月18日

（日本語訳：これは大ごとだ。
研究者3人がClaude Opus 5を使い、画像アップロードのバグをOpenAI社員のアカウント乗っ取りにまで発展させ、乗っ取った社員のCodexにOpenAI内部モノレポへのプルリクエストを開かせた。
ハッキング全体にかかった費用はトークン代3000ドル未満。
Opus 4.8）

投稿には、Wall Street Journalの記事見出し「Hackers Used Anthropic’s Claude to Break Into OpenAI」（記者：Robert McMillan、2026年9月17日）をキャプチャした画像が添えられていました。
AIを使ってAI企業に侵入する——その構図そのものが、多くのエンジニアの目を引いた形です。
AIツールを日常的に使う立場からすると、「モデルが1つ新しくなっただけで、できなかったことができるようになる」というスピード感は、セキュリティ担当者に限らず知っておく価値がありそうです。

先に結論をまとめると：
– セキュリティ企業Hacktron AIの研究者3人（Harsh Jaiswal、Mohan Pedhapati、Rahul Maini）が、Claudeを使いOpenAIのコミュニティフォーラムの脆弱性とSSOの設定ミスを組み合わせ、OpenAI社員のChatGPTアカウントと内部GitHubリポジトリに侵入
– 脆弱性は画像処理ライブラリlibheifのヒープバッファオーバーフロー。
Opus 4.8はバグを発見したが悪用までは至らず、その日の晩にリリースされたOpus 5が一晩で攻撃コードの完成にこぎつけた
– 7月にOpenAIとDiscourseへ報告済みで脆弱性は修正済み。
OpenAIから6500ドルの報奨金を受け取り、調査全体にかかったAIトークン代は3000ドル未満

Xで見つかったバズの発端

Yuchenj_UW氏の投稿は、投稿からまもなく500件超の「いいね」を集めました（上記引用）。
一方、日本語圏でこのニュースを最初に広めたのは、速報アカウントpolymarketjapanの投稿でした。

【速報】研究者、Claudeを使いOpenAI社員のChatGPTに侵入

OpenAIへ報告し、バグ報奨金6500ドルを受領

— Polymarket Japan (@polymarketjapan) 2026年9月18日

「【速報】研究者、Claudeを使いOpenAI社員のChatGPTに侵入」「OpenAIへ報告し、バグ報奨金6500ドルを受領」——短い2行の投稿は2,000件を超える「いいね」を集め、日本語圏でも一気に拡散しました。
両者に共通するのは、「AIを使ってAI企業のセキュリティを突破した」という構図のインパクトです。

調べて分かったこと

なぜOpenAIのコミュニティフォーラムが突破口になったのか

侵入の起点は、OpenAIが運営するコミュニティフォーラム「community.openai.com」でした。
このフォーラムはDiscourseというソフトウェアで構築されており、ユーザーがHEIC/HEIF形式の画像をアップロードすると、ImageMagick経由で画像処理ライブラリ「libheif」がデコード処理を行う仕組みになっていました。
研究者らが調べたところ、フォーラムが使っていたlibheifのバージョンには本来適用されているはずのセキュリティ修正が一部バックポートされておらず、HEIC画像のデコード中にヒープバッファオーバーフロー（メモリ領域への想定外の読み書き）が発生する欠陥が残っていたといいます。

この調査は一過性のものではなく、Hacktron AIが数カ月かけて実施した「HEIF Heist」という取り組みの一環でした。
同チームによれば、libheifはSlackやMeta、GitHub Enterprise、Ruby on Rails、さらにNext.jsやAstro、GatsbyといったNode.js系フレームワークにも組み込まれており、OpenAI以外の複数のサービスでも同様の経路が存在しうることが分かっています。

Opus 4.8とOpus 5で何が変わったのか

研究者らはまず、DiscourseのDockerイメージを使ってClaude Opus 4.8にセッションを与え、インストールされているlibheifパッケージのセキュリティ上の問題を調べさせました。
Opus 4.8はここでヒープバッファオーバーフローの欠陥そのものを発見しています。
ただし、それを実際に悪用可能な攻撃コード（メモリの読み書きを狙い通りに操作する手法）にまで仕上げることはできませんでした。

転機になったのは、調査の途中でClaude Opus 5がリリースされたことです。
同じ欠陥に対してその晩からOpus 5に取り組ませたところ、一晩で悪用の糸口を見つけ出したといいます。
バグを見つける力と、それを実際に突破する力の間には距離があり、その距離をモデルのバージョンアップだけで一晩のうちに埋めてしまった格好です。

侵入後、実際に何が起きたのか

見つけたlibheifの脆弱性を、OpenAIのシングルサインオン（SSO）まわりの設定ミスと組み合わせることで、研究者らはOpenAI社員のChatGPTアカウントと、OpenAIの内部GitHubリポジトリ「openai/openai」へのアクセスを得ました。
さらに、乗っ取った社員アカウントに紐づいていたAIコーディングツール「Codex」に指示を送り、OpenAI内部のモノレポ（複数プロジェクトをまとめて管理するリポジトリ）に対してプルリクエストを開かせるところまで実証したといいます。

一連の調査結果は7月にOpenAIとDiscourseの双方へ報告され、脆弱性はすでに修正済みです。
OpenAIからは6,500ドルの報奨金が支払われた一方、研究者らがAIツールの利用に費やしたコストはトークン代だけで3,000ドルに満たなかったとされています。

Shiritomo AI編集部の考察

今回の一件で注目すべきは、侵入の技術的な巧妙さそのものより、「モデルが一段階新しくなっただけで、できなかったことができるようになった」という事実の速さだと考えます。
Opus 4.8では見つけた欠陥を突破できず、Opus 5では一晩で突破できた。
この差は、攻撃側だけでなく防御側にとっても他人事ではありません。
AIコーディングツールが社内システムに深く組み込まれるほど、アカウント1つの乗っ取りが「社員のミス」ではなく「AIエージェントへの指示1本」で内部リポジトリへの書き込みにまで直結するリスクを負うことになるからです。

さらに、今回の起点になったlibheifの欠陥は、OpenAIだけの問題ではなく、Slackやメタを含む複数の大手サービスが同じライブラリを内包しているという点も見逃せません。
AIを使った脆弱性調査のコストが数千ドル規模まで下がった今、同種の手法が他のサービスにも向けられるのは時間の問題といえそうです。

まとめ

セキュリティ企業Hacktron AIの研究者3人は、Claudeを使ってOpenAIのコミュニティフォーラムの画像処理ライブラリの欠陥とSSOの設定ミスを組み合わせ、OpenAI社員のアカウント乗っ取りから内部GitHubへのプルリクエスト送信まで実証しました。
Opus 4.8では突破できなかった攻撃が、その晩リリースされたOpus 5で一晩のうちに成功した事実は、AIモデルの性能向上がセキュリティの前提を急速に塗り替えつつあることを示しています。

さらに深掘りしたい方へ

今回の詳しい技術的な経緯は、研究チームであるHacktron AI自身のブログ記事「Hacking OpenAI」で公開されています。
英語圏の報道としてはVentureBeatの記事も詳しく経緯をまとめています。