Codexで発見、数秒でサーバーを麻痺させる新脆弱性

セキュリティ研究者は、OpenAIのコーディング支援AIである「Codex（コード生成に特化したAIモデル）」を活用した検証により、主要なWebサーバーを数秒で強制停止させる新しいDoS攻撃（サーバーに過負荷をかけ停止させる攻撃手法）「HTTP/2 Bomb」を発見した。この攻撃は、家庭用の一般的なPCからでも実行可能であり、nginxやApacheなどの世界的に普及しているWebサーバーを数分以内にダウンさせることができる。すでに一部のベンダーは対策パッチをリリースしているが、依然として未対応のシステムも存在しており、注意が必要である。

1. HPACK圧縮増幅とフロー制御の悪用

「HTTP/2 Bomb」は、すでに知られていた「HPACK（ヘッダーデータを圧縮する技術規格）」圧縮増幅攻撃と、データ流量を制限するフロー制御（データ送受信の速度を調整する仕組み）の脆弱性を組み合わせたものである。 まず、攻撃者はヘッダー情報を一度送信して動的テーブルに保存し、その後はわずか1バイトのインデックスのみで同じデータを繰り返し参照する。これにより、サーバー側では受信データの数千倍のメモリ消費が発生する。さらに、サーバーに対して応答データ送信を保留にするよう制御をかけることで、割り当てられたメモリを解放させずに保持し続けさせ、サーバー全体のメモリを枯渇させる。

2. 一般家庭用PCからでも10〜45秒で主要サーバーが麻痺

実証実験では、100Mbps家庭用PCからの接続からでも、各Webサーバーを短時間でサービス停止に追い込めることが確認された。

• Envoy 1.37.2：約10秒で32GBのメモリが枯渇
• Apache httpd 2.4.67：約18秒で32GBのメモリが枯渇
• nginx 1.29.7：約45秒で32GBのメモリが枯渇
• Microsoft IIS（Windows Server 2025）：約45秒で64GBのメモリが枯渇

3. OpenAIのCodexによる攻撃手法の自動探索

研究者らによると、今回組み合わせた2つの攻撃手法自体はすでに知られていたものである。しかし、それらを組み合わせて破壊力を最大化するアプローチを効率よく見出す上で、OpenAIのCodexの提案能力と検証コード生成能力が大きな役割を果たしたという。 現在、nginx、Apache、Envoy向けには修正パッチが提供されているが、Microsoft IISやCloudflareのPingoraに対するパッチ対応は未定である。

本脆弱性は、特別なインフラを持たない一般ユーザーのPCからでも主要サーバーを麻痺させられるため、極めて高い脅威となる。 また、今回の検証過程でCodexが貢献したという事実は、AIが脆弱性の未知の組み合わせや攻撃ロジックの発見において、強力なツールとして機能することを示している。 編集部注：AIは防御技術の向上にも役立つが、攻撃手法の高度化を招く二面性があり、今後も注視が必要である。システム管理者には、早急なパッチ適用か、一時的なHTTP/2の無効化といった回避策が強く推奨される。