小さなチームがAnthropicの最新モデルをOpenAIの正面玄関に向けて、そのまま通り抜けた。多くの人が読んでいるバージョン——ChatGPTの開発元を困惑させた賢い部外者——は、主題を誤っている。この侵入は、OpenAIがパッチを当て忘れた何かに依存していたわけではない。それは、Anthropicがより高性能なClaudeをリリースした瞬間にかかっていた。そこが注目すべき点だ：数日間停滞していた作業が、新たな旗艦モデルの登場とともに自然に解決したのだ。

関与した人々は犯罪者ではなかった。セキュリティスタートアップHacktronの研究者たちは、OpenAI自身のバグ報奨金プログラム内で活動し、いくつかの地味なウェブの脆弱性を連鎖させ、OpenAI従業員のアカウントに到達し、内部コードリポジトリまでたどり着いた——そしてそこで止まり、発見した内容を報告し、ささやかな報酬を受け取った。彼らは証拠として無害なマーカーを残し、それ以上は進まなかった。犯罪として読めば、それは出来事ではない。能力テストとして読めば、それは立ち上る信号弾だ。

ここに、報道が飛ばした仕組みがある。チームはまず、セキュリティ作業用に調整されたバージョンであるClaude Opus 4.8で作業を実行し、複数のセッションにわたって停滞した。その後、AnthropicはOpus 5をリリースした。「Opus 4.8は複数のセッションにわたって、実用的なエクスプロイトの生成に苦戦しました」とHacktronチームは書いている。「Opus 5のリリースから数時間以内に、同じ問題を与えたところ、成功しました。」VentureBeatは、新しいモデルが数時間以内に厄介なチップターゲットに対する実用的なエクスプロイトを生成したと報じた。その期間中、OpenAIの防御に何の変化もなかった。変化したのはモデルだった。

それこそまさに、Anthropic自身の安全機構が検出し抑制するように設計されている種類の飛躍——一般ユーザーが市販のサブスクリプションでできることの飛躍——である。同社は最も高性能なサイバーモデルであるMythosを輸出規制と厳選された防御者の短いリストの背後に置き、これまでに構築した中で最強のセキュリティモデルと呼んでいる。そのどれもここでは重要ではなかった。公開されているティアで十分だった。Gray Swanの最高経営責任者Matt FredriksonがTechCrunchに語ったように、「月額200ドルで、誰でもこれらのツールを使ってOpenAIのような企業にハッキングできる」のだ。

ここで責任は、競合他社ではなくAnthropicに集中する。Anthropicはそのアイデンティティ全体を慎重さの上に築いてきた——最高経営責任者Dario Amodeiは、この技術の「本当の危険」について公然と語り、業界に減速を促してきた。競合する研究所への侵入のハードルを測定可能な形で引き下げる一般公開モデルは、そのメッセージにとって不快なカウンターウェイトとなる。説明を求められた同社は何も言わなかった；CBS Newsは、Anthropicがコメント要請に応じなかったと報じた。OpenAIは、研究者に感謝し、攻撃者が悪用した権限を狭め、影響を受けたセッションを取り消した。

具体的な内容はほとんど平凡だ。侵入経路は、OpenAIのコミュニティフォーラムを動かすDiscourseソフトウェアにバンドルされた古い画像処理ライブラリだった；サインイントークンのスコープ設定における2つ目のミスにより、研究者は侵害されたセッションを利用してChatGPTとCodexの従業員アカウント、そしてプライベートコードにまで到達できた。最初の足掛かりからリポジトリへのアクセスまでの全チェーンは、3日未満で完了した。OpenAIは6,500ドルを支払った。チームは、全体の取り組みにClaudeの使用時間で3,000ドル未満しか費やしていないと述べている——2か月の作業、そのほとんどは人間によるものだが、最後はもはや専門家を必要としないマシンによって圧縮された。

かつてターゲットを守っていた希少なリソースは、決してパッチではなかった。それは、脆弱性を見つけ、それらを溶接し、経路を見通すことができる専門家——そしてそれにかかる数か月——だった。その専門知識は、今や安価になった。今回、OpenAIのコードに到達したチームは報告書を提出し報奨金を受け取った。同じハードルを、同じサブスクリプションで次に越える者が、報告する義務を負っているわけではない。

タグ: OpenAI, Anthropic, Claude, AIセキュリティ, Claude Opus 5, サイバー攻撃