Apple、OpenAIを営業秘密窃取で提訴——元従業員が「未知の認証バグ」を悪用#
2026年7月13日（現地時間）、Appleは競合AI企業のOpenAIを相手取り、営業秘密の盗用を訴える訴訟を米国カリフォルニア北部地区連邦地方裁判所（サンノゼ）に提起した。Appleは陪審裁判を求めており、訴訟が進めば今年中に審理が始まる可能性がある。この訴訟の中で、驚くべき技術的詳細が明らかになっている。
何が起きたのか——事件の経緯#
Appleの訴状によると、元従業員でシステム電気エンジニアのChang Liu氏は、Appleを退職してOpenAIに入社した後も、Appleの社内ネットワークストレージに不正アクセスし続けたとされる。
問題のアクセスが発生したのは2026年2月とされており、Liu氏はApple退職後も自身が同社のネットワークリポジトリにアクセスできることを発見したという。Appleはこれを「当時未知の認証脆弱性（authentication vulnerability）」によるものと説明している。
Appleはこの脆弱性をゼロデイ脆弱性として分類している。ゼロデイ脆弱性とは、開発元がその存在を把握する前に悪用されてしまう、修正の猶予がない脆弱性のことを指す。Appleは訴状の中でこのバグを「稀で、以前は知られていなかった認証バグ」と表現している。
Appleはその後このバグを修正し、Liu氏のアクセス権を停止したと述べている。また、Appleのサーバーログの確認によれば、バグ自体は「数名」に悪用できる状態だったものの、実際に不正アクセスに利用したのはLiu氏のみだったとしている。
窃取されたとされる情報の内容#
Appleの主張によれば、Liu氏はOpenAI在籍中の数週間にわたって、「数十点のAppleの機密ハードウェア関連ファイル」を持ち出したとされる。それらのファイルには以下の情報が含まれていたとAppleは訴状で述べている。
- 未発表製品に関する詳細情報
- エンジニアリングプレゼンテーション資料
- 技術仕様書
- 独自プロジェクトデータ
複数の問題行為が指摘される#
訴状ではLiu氏の問題行為として、不正アクセスだけでなく複数の点が挙げられている。
Apple支給ノートPCの未返却： Liu氏はAppleが支給した業務用ノートPCを返却しなかったとされる。このPCはかつてAppleの社内システムへのアクセスに使用されていたものだという。
知人のアカウント・端末の悪用： Liu氏は当時Appleに在籍していた知人のYu-Ting Peng氏のApple支給ノートPCを、Liu氏がすでにAppleを退職した状態で使用したとも申し立てられている。なお、Peng氏はその後OpenAIに転職している。
バグの不報告： Liu氏は自分がAppleのシステムに不正アクセスできることを発見した際、雇用契約上の義務であったにもかかわらず、そのバグをAppleに報告しなかったとされる。さらに、アクセスを可能にしていたプログラムを削除することもしなかったという。
また、訴状にはLiu氏がPeng氏に送ったとされるメッセージも引用されており、「LOL、ネットワークストレージにアクセスできるって気づいた、面白すぎる（LOL… so funny）」という内容だったとされる。
なぜこのニュースが重要なのか#
この事件は、企業が従業員の退職後に機密データをいかに保護するかという、組織的なセキュリティ管理の課題を浮き彫りにしている。
Appleのような大企業でも、退職した従業員のアクセス権が完全に無効化されていなかった、あるいは未知のバグによってアクセスが継続してしまったという事実は、どの企業にとっても他人事ではない。一般的に、企業は退職者のアカウントを速やかに無効化することで、意図的・非意図的を問わず機密情報の流出を防ごうとする。しかし今回の事例では、「未知の認証バグ」がその防御を突破する形になったとAppleは主張している。
AppleはTechCrunchからの問い合わせに対し、脆弱性の詳細、悪用の手口、Liu氏のアクセス権をいつ無効化したかについては回答しなかった。
一方、OpenAIはこれまでに「他社の営業秘密に関心はない」とのコメントを出している。
まとめ#
AppleとOpenAIの間で起きているこの訴訟は、AI業界における人材流動と企業機密保護という二つの問題が交差した、極めて注目度の高い事案だ。退職後も残存していた認証バグという技術的な穴が、大規模な機密情報漏洩の入り口になったとAppleは主張している。
筆者の見解： 今回の事例は、従業員のオフボーディング（退職処理）プロセスにおけるアクセス権管理の徹底が、企業セキュリティの根幹を成すことを改めて示している。特に未知の脆弱性に起因するアクセスは事前防御が難しいだけに、ログ監視や異常検知の仕組みが実際に機能していたかどうかが今後の焦点になるだろう。裁判の行方によっては、業界全体のセキュリティポリシーや人材採用慣行にも影響が及ぶ可能性がある。
詳細な法的内容や訴状の全文については、元記事を参照されたい。
