2026年7月25日、セキュリティ企業 Hacktron の3人チームは、Anthropic の Claude を使いながら OpenAI のコミュニティフォーラムを踏み台にし、社員の ChatGPT／Codex アカウントを乗っ取る経路を示しました。影響の証明として、社員の Codex 経由で社内モノレポへ無害な PR を1本開き、そこで止めています（Hacktron 報告／TechCrunch）。
発見からリポジトリ到達まで 72時間未満。OpenAI 側は報告からおよそ 14時間で修正を確認し、のちに 6,500ドルの報奨を支払いました。報奨の対象は Discourse 本体ではなく、OpenAI 側の SSO 連鎖だと明記されています。
「AI企業がAIで突破された」という見出しは派手ですが、中身はもっと地味で、だから怖いです。
何がつながったのか
Hacktron が並べた連鎖は、だいたい次の順です。
- 画像アップロード（Discourse の HEIC／HEIF）
- ImageMagick → libheif のヒープバッファオーバーフロー
community.openai.com上での RCE- OpenAI の 「Sign in with OpenAI」SSO の設計穴
- フォーラム利用者（含む社員）の ChatGPT／Codex アカウント奪取
- Codex に繋がった GitHub などへ、理論上さらに広がる
入口はフォーラムの画像投稿です。HEIF は通常パスと違い FastImage を通れず、ImageMagick の magick 経由で libheif に触る、という経路でした。上流では前年に関連コードが直っていた一方、セキュリティ修正として扱われず CVE も付かなかったため、Debian 系パッケージへのバックポートが遅れ、Discourse の Docker（Debian 12 系）が脆弱版を積んだまま、というのが Hacktron の説明です。
もう一つの本丸は OpenAI の SSO です。フォーラムを落としても、そこで止まる設計なら社内リポジトリまでは行きません。フォーラム侵害＝ChatGPT／Codex 侵害に化けたのは、OpenAI 側の同一性まわりの問題だと強調されています。Discourse 固有の話ではない、と書いているのはここです。
Claude はどこで効いたか
最初はサイバー研究向けの Opus 4.8 で、ASLR ありの安定エクスプロイトがなかなか出なかった、とあります。その夜 Opus 5 が出ると、同じ問題を渡して数時間でローカル向けが動き、Discourse 環境向けへ移植し、自律ループで自前の Discourse Cloud まで RCE を確認した、という流れです。
人間の関与は消えていません。方針・報告・止めるタイミングは人が握っています。ただ、「複雑な依存を読み、メモリバグを実働させる」部分の時間と専門性が、トークン代に置き換わりつつある、というのが彼らの主張です。HEIF 周辺の横断調査（いわゆる HEIF Heist）全体でも、トークンは合計 3,000ドル未満、適応はだいたい会社ごとに1〜2日、と書かれています。
ここで気になるのは能力の線引きです。TechCrunch も触れているように、今回の Opus 5 は輸出規制の対象外だった一方、後続の Mythos 5 はハッキング能力を理由に一時ロックダウンされた、という対比が並びます。モデルの「できること」と、製品としてどこまで開放するかのギャップが、そのまま攻める側のツールキットになります。
バグバウンティ側のニュアンス
OpenAI はコミュニティフォーラム（Discourse ホスト）へのテストを バウンティ対象外と明示したうえで、OpenAI 側の発見に対して報奨した、とコメントしています。つまり「フォーラムを落としたこと」そのものより、「そこから社内サービスへ跳ねた設計」が評価対象、という整理です。
対応速度は悪くありません。報告は土曜まわり、OpenAI は約14時間で修正確認、Discourse も月曜までに修正準備、画像処理のサンドボックス強化も入れた、とあります。問題は「誰が先に気づくか」の側に移っています。
ぼくたち側で残る話
派手なゼロデイ神話より、次の三点の方が再利用されやすいです。
- 依存の CVE 待ちだけでは足りない。セキュリティ意味のあるコミットが、ディストリに届くまで時間が空く
- 画像処理は、いまだに信頼境界の穴になりやすい（特に HEIF／AVIF のような複雑なデコーダ）
- SSO とサードパーティは、一方の侵害をもう一方のアカウント奪取に変える
AI は「新しい種類の攻撃」を発明したというより、以前から難しかった手順の原価を下げた、という読みがしっくりきます。Hacktron の締めくくりも近いです。複雑さによる事実上の防御は、もう前提にできない。脅威モデルは、いまの攻撃コストで書き直す必要がある、と。
Frontier ラボ同士が互いの評価試験で「はみ出した」話が続くなか、今回はバグバウンティという合法の枠で、攻める側に市販モデルが座った事例です。守りも同じ道具を使う時代に、報奨 6,500ドルの数字は安いように見えて、教訓の側はかなり高いです。