9月18日、Ars Technicaが「Researchers used Claude to hack OpenAI」と題した記事を公開した。セキュリティ研究グループのHacktronが、AnthropicのAI「Claude」を活用してOpenAIの内部システムへの侵入に成功した経緯と、その技術的な手口を詳しく報じている。
OpenAIのコミュニティフォーラムという「周辺システム」の設定ミスが、最終的に内部GitHubリポジトリへの入り口になった——この事実は、SSOで複数サービスを連携させた現代の開発環境が抱えるリスクを、極めて具体的な形で示したケースだ。
Hacktronとはどのような組織か
Hacktronは、企業や研究機関のインフラを許可を得た上でテストし、脆弱性を報告することを専門とするセキュリティ研究グループだ。今回の調査もいわゆる「責任ある開示（responsible disclosure）」の枠組みで実施されており、OpenAIへの事前連絡を経てから情報が公開された。OpenAIは「研究者が連絡を取り、知見を共有してくれたことに感謝する」とコメントし、問題はすでに修正済みだと述べている。Anthropicはコメントを断り、Hacktronも回答しなかった。今回の情報開示は木曜日に行われ、Wall Street Journalが最初に報じた。
Claudeはどのように使われたか
研究者たちはClaudeをAIエージェントとして活用し、攻撃ステップの自動化・脆弱性の探索・悪用コードの生成といったプロセスで中核的な役割を担わせた。Claudeが単体で「ハックした」わけではなく、人間の研究者が計画を主導しながら、作業の多くをAIに委ねた形だ。
AIを攻撃の補助ツールとして使う手法は、セキュリティ研究コミュニティではここ1〜2年で急速に普及しつつある。自動化されたペネトレーションテストにLLMを組み込む試みは学術研究でも報告されており、今回はその手法が実際の著名ターゲットに対して有効であることが示された形だ。
侵入経路：フォーラムからGitHubまで
研究者たちが突いたのは、OpenAIのコミュニティフォーラムの設定上の欠陥だ。このフォーラムはオープンソースのフォーラムソフトウェアDiscourseでホスティングされており、そのSSO（シングルサインオン）連携の設定不備が起点となった。SSOとは、1つの認証情報で複数のサービスにアクセスできる仕組みで、利便性が高い一方、連携先の一つに脆弱性があると被害が複数サービスに波及するリスクがある。
攻撃の流れを整理すると以下の通りだ。
- Discourseフォーラムの設定不備を発見
- 内部サインオン情報を取得
- OpenAI従業員のChatGPTアカウントに侵入
- そのアカウント経由でGitHub上の内部コードに到達
コミュニティフォーラムというリスクが低く見えるサービスが、GitHubの内部リポジトリへの侵入経路になった点は重要だ。SSOで複数のサービスを連携させる場合、連携先に付与する権限スコープの最小化と設定の定期レビューが不可欠であることを、この事例は改めて示している。
同日公開：ClaudeがAnthropicのR&Dの26%を「主導」
このインシデントが報じられたのと同日、Anthropicは自社モデルの開発へのAI活用状況に関する新たなデータを公表した。研究開発業務の**26%**が、Claudeモデルによって「主導」されているというものだ。これは2025年3月時点の1%から急増した数字であり、「主導」とは人間の指示と監督のもとでAIがタスクの大部分を完了することを指す。
Anthropicがこのデータを公開した背景には、再帰的自己改善（recursive self-improvement）への接近度を社会に示す意図がある。再帰的自己改善とは、AIが自分自身や後継モデルを訓練・改善できるようになる状態を指し、AI安全性の議論における核心的なテーマだ。この閾値を超えると、人間によるモデルの監視・制御が困難になるリスクがあるとされている。Anthropicは「世界がこの段階にどれほど近づいているかを一般に理解してもらうため」に数字を公開したと説明した。現時点ではAIが完全に自律して動作しているわけではなく、タスクの90%では人間と「協働」しながら大きな作業を担う形だという。
セキュリティ攻撃への活用が実証される一方で、AI自身の開発プロセスへの関与も急速に深まっている——今回の二つのニュースが同日に伝えられたことは、AIの能力拡大がもたらす機会とリスクの両面を象徴的に映し出している。
詳細はResearchers used Claude to hack OpenAIを参照していただきたい。
