OpenAIの内部リポジトリをハック
原題: Hacking OpenAI
なぜ重要か
OSSのイメージ処理ライブラリの未パッチ問題が大企業のSSOと連鎖した場合、内部リポジトリまで一気に到達できることを実証した好例。
セキュリティ企業Hacktronは2026年7月25日、libheifのヒープバッファオーバーフローとOpenAI SSOの設定不備を連鎖させ、複数のOpenAI従業員のChatGPTおよびCodexアカウントを侵害。内部モノレポ「openai/openai」にPR #1186742を開くことでアクセスを実証した。発見から72時間以内の出来事で、OpenAIは6,500ドルのバグバウンティを支払った。
Hacktron AIのHarsh Jaiswal、Mohan Pedhapati、Rahul Mainiの3名は、2026年9月13日に詳細なレポートを公開した。攻撃の起点はOpenAIが運営するコミュニティフォーラム「community.openai.com」だ。このフォーラムはDiscourseで稼働しており、画像処理にImageMagickを使用。そのImageMagickが内部でlibheifを呼び出す際、Debianのセキュリティバックポートが適用されていない脆弱なバージョンが稼働していた。
チームはまず、libheifのヒープバッファオーバーフロー（CVE未記載）を悪用してDiscourse環境でRCE（リモートコード実行）と管理者権限を取得した。これに加え、OpenAIのSSOにおけるアイデンティティ検証の欠陥を組み合わせることで、フォーラムにログインしていたOpenAI従業員のChatGPTおよびCodexアカウントへのセッション乗っ取りに成功した。
CodexにはGitHub、Slack、メールなどの外部サービスを接続できるため、理論上アクセス可能な範囲は広大だった。実際の被害確認は最小限に抑えるため、チームは従業員のCodexを使って内部モノレポ「openai/openai」にPR #1186742を開くというPoC（概念実証）にとどめた。
初期発見から72時間以内に全工程が完了。発見直後にOpenAIとDiscourseへ報告し、責任ある開示（Coordinated Disclosure）のプロセスに沿ってBugcrowd経由でOpenAIのバグバウンティプログラムに提出した。OpenAIとDiscourseは迅速に対応してパッチを適用し、OpenAIは6,500ドルのバウンティを支払った。なお今回の調査過程でClaudeモデルも活用したという。Opus 5リリースのコスト試算なども記事内で言及されている。