OpenAIのSSO設定ミスとlibheifの脆弱性を連鎖させ、社内リポジトリへのアクセスに成功
Hacking OpenAI
2026年7月、Hacktronの研究者らはDiscourseの画像アップロード経路に潜むlibheifのヒープバッファオーバーフローと、OpenAIのSSO設定ミスを組み合わせ、72時間以内にOpenAI従業員のChatGPT/Codexアカウントを掌握。Codex経由で社内モノレポにPRを開設しアクセスを証明した。OpenAIは6,500ドルの報奨金を支払い、Discourseは迅速に修正。研究チームはClaude Opus 5などのAIを活用し、脆弱性発見とエクスプロイト作成のコストが劇的に下がったと指摘する。
AIは、この希少な専門知識の多くを計算資源に変えることで、その保護を取り除きつつある。かつては潤沢なリソースを持つチームと数ヶ月の努力を要した作業が、今では数日に圧縮され得る。
HNでの議論
179- btown
> 7月25日の午前6時までに、画像アップロードを通じたローカルRCEを確認しました。次に、Claudeを自律的な/goalループに入れ、自社のDiscourse Cloudインスタンスに対して実行しました。プロキシはrce.ee/ctf-forum経由で、CTFターゲットに見せかけたのです。Opusがリモートインスタンスへの書き込みエクスプロイトを拒否したためです。
> 午前10時に再度確認したところ、エージェントはDiscourse Cloud上でRCEを達成し、/etc/hostsを読むことでアクセスを実証しました。生成されたエクスプロイトスクリプトを使い、OpenAIのインスタンスでRCEを得ることに成功しました。
これとHuggingFaceのハックの間で、私たちは目標志向で非常に有能なシステムを構築してきました。正当化されると確信させられれば、あるいは勝つこと以外に目標がない「ゲーム」をしているのであれば、ほとんど何でもするでしょう。
もちろん、自分のソフトウェアが自身のセキュリティを監査し、独自のエージェントシステムの利点を持つ攻撃者から防御できるようにしたいです。しかしある時点で、CTFゲームでそんなに訓練する必要があったのでしょうか？
業界全体がhttps://en.wikipedia.org/wiki/WarGamesを見て、「これは挑戦だ、より良いWOPRを作ればいい、もちろんゲームをしているときはわかるはずだ。グローバル・サーモニュークリア・ウォーをやろう」と思ったように感じます。
- mentalgear
> 2ヶ月前まで、OpenAI自身のヘルプフォーラム（community.openai.com）にログインするユーザーやOpenAI従業員は、ChatGPTとCodexアカウントを乗っ取られる可能性がありました。人々はCodexやChatGPTに様々なサービスを接続できるため、理論上アクセスできる範囲は膨大で、GitHub、Slack、メールなどが含まれていました。
> 最初の発見からOpenAIリポジトリへのアクセスまでの全タイムラインは72時間未満で完了しました。
素晴らしい、そしてOpenAIは「戦争省」と協力して自律型殺人AIを強化している企業です。
- mmnfrdmcx
このような価値あるIPを持つ企業が、インターネットから到達可能なGitHub（内部ネットワーク/VPNの背後ではない？）を使い、IPに対する多くの保護策を講じているのは興味深いと思いました。不満を持つ従業員がモノレポ全体を競合他社に漏洩するのを何が止めるのでしょうか？
- nikcub
libheifのパッチ[0]を読むと、脆弱性につながったバグは画像オーバーレイの境界チェックに関するものでした。コンテナは複数の画像を持つことができ、出力でそれらを合成できます。
heifは回転、クロッピング、アルファチャンネル、サムネイルなど、ユーザーが写真やスクリーンショットをアップロードするウェブフォーラムには不要な機能も多数サポートしています。
これは昔ながらのJPEGよりもはるかに大きな攻撃面です。
この画像ライブラリや他のライブラリに次のバグが現れるのを待つよりも、物事をシンプルに保つことをお勧めします - プレーンなJPEGに固執し、ユーザーがiPhoneの画像をアップロードするのを本当にサポートする必要があるなら、クライアント側（ブラウザのwasm）で画像変換を処理してください。
メディアのデコードは非常に難しく、ffmpegやimagemagick、コアライブラリには大量のバグがありました。ウェブサーバー経由でどれだけ露出するかを本当に考える必要があります。
[0] https://github.com/strukturag/libheif/commit/85e21ad44eba931...
- larodi
3年経っても、AnthropicやOpenAIが開発したモデルの重みがこれまでに一つも漏洩していないのは驚くべきことです。ただの一つも。
Windowsの内部ビルドは何年も漏洩しており、初期のゲームバージョン、GTAの動画、機密文書など何でもあります。しかし、あらゆる内部告発があっても、モデルが一つも漏洩していないのはなぜか。これらの企業はどのレベルのセキュリティを持っているのでしょうか？サービスを実行するために暗号化されたDVDをAWSに持ち込んでいるのか、それとも本当に...どうやって可能なのでしょうか？
- oefrha
サンドボックス化されていないImageMagickは、PHPが世界を支配していた時代からセキュリティの悪夢として知られています（サンドボックス化が万能薬だと言っているわけではありません。完全なチェーンを開発するには、異なる、そして潜在的に難しいエクスプロイトが必要です）。違いは、脆弱性を完全な侵害に変えるのがかつてないほど容易になっていることです。いつか、すべてのパーサーを少なくともhttps://github.com/google/wuffsと同じくらい安全なものに置き換える必要があるでしょう？そうしないと、ImageMagickなどはただ与え続けるでしょう。
- sams99
Discourse側のアップデートです。現在、magickを含むすべての外部バイナリをlandlockサンドボックス経由で実行しています。
使用しているgemはこちらです：https://github.com/discourse/ruby-landlock すべてのRubyistにこれを検討することを強くお勧めします。また、MagickからVips（これもサンドボックス内で実行され、プロセス内ではない）への移行を進めています。
HEIFはパッチが当てられましたが、これがHEIFの最後のバッファオーバーフローであるとは思えません。今後数週間か数ヶ月で、誰かがlibpngや他のネイティブ画像ライブラリで何かを見つけるだろうと驚きません。現状を考えると、多層防御が重要です。
もう一つ、すべてのセルフホスターに言及する価値があるのは、常に更新することです！今年のオープンソースソフトウェア全体のCVEの割合は屋根を突き抜けています。セルフホスティングは今や二重に怖いです。月に一度、できれば週に一度更新するためのルーチンを設定する必要があります。
- nullbio
これは書面による許可なしで行うのは合法なのでしょうか？これに対する6,500ドルはピーナッツのように感じます。このようなハックの潜在的な影響範囲は非常識で、特にGitHubへのアクセスを考えると。OAIは彼らが倫理的で、これを数十万ドルで悪意のある第三者に売らなかったのは幸運です。