何が起きたか
Appleは米カリフォルニア州北部地区連邦地裁（サンノゼ）にOpenAIを提訴し、陪審裁判を要求しました。訴状の中心にあるのは、退職してOpenAIに移った元システム・エレクトリカルエンジニアのChang Liu氏の行動です。Appleは、Liu氏が退職から数週間後もAppleのネットワーク上のクラウド型ファイル置き場にアクセスでき、その原因が「稀な、それまで知られていなかった認証バグ」だったと主張しています。いわゆるゼロデイ脆弱性で、Apple側は修正の猶予がないまま悪用されたとしています。
持ち出されたとされるのは「数十件の機密ハードウェア関連ファイル」で、Appleは未発表製品の詳細、エンジニアリング資料、技術仕様、プロジェクト固有データが含まれていたと述べています。Appleはバグを修正済みで、当該アクセス権も遮断したとしています。またサーバーログの確認から、バグ自体は「他にも数名」がアクセスし得るものだったが、非従業員の立場で実際に機密情報の窃取に悪用したのはLiu氏のみだった、と主張しています。
「バグ」より重い、手続き上の失敗
この件で注目すべきは、脆弱性そのものより周辺の運用です。Appleの主張では、Liu氏は雇用契約上の義務に反してバグを報告せず、支給されたApple製の業務用ノートPCを返却せず（「別のコンピュータがある」と述べたとされます）、アクセスを可能にしていたプログラムを削除しなかったとされています。さらに、当時まだApple在籍中だった知人Yu-Ting Peng氏（後にOpenAIへ移籍）の業務用ノートPCを、自身がすでに退職した状態で使ったとも主張されています。2026年2月には、機密のエンジニアリングファイルやプロジェクト文書を格納したネットワークストレージへのアクセスを試みたとされます。
Appleは認証バグの中身も、使われたとされるプログラム名も明らかにしていません。TechCrunchの問い合わせにも回答していません。一般に認証バグとは、ログイン機構の弱さや設定ミス——過剰な権限付与、退職者の資格情報を失効させ損ねること——から生じます。つまり、高度な攻撃技術ではなく「消し忘れ」の類が入口になり得る領域です。
争点はまだ何も確定していない
現時点では、これはあくまでAppleの主張です。OpenAIは以前から「他社の営業秘密に関心はない」との立場を示しています。裁判は年内に始まる可能性があります。人材の激しい奪い合いが続くAI業界において、採用そのものと情報の持ち出しをどう線引きするかが、法廷で問われることになります。
💼 事業会社視点：これは自社にどう効くか
経営者が受け取るべき教訓は「AI大手同士の争い」ではなく、退職者オフボーディングの穴です。Appleほどの体制でも、退職から数週間、クラウド上の機密置き場に元従業員がアクセスできた——と自ら訴状に書いている事実は重い。
日本企業でまず点検すべきは3点です。第一に、退職者の資格情報失効が「人事の退職手続き完了後」になっていないか。SaaSを数十本使う会社では、IdP（Entra ID等）から切っても個別SaaSのローカルアカウントやAPIトークン、PC上に残ったクライアントアプリのセッションが生き残ります。Appleの件も「アクセスを可能にしていたプログラム」の削除が争点です。第二に、貸与端末の回収が未完了のまま放置されていないか。返却督促が総務任せになっている会社は多い。第三に、在籍者の端末・アカウントを退職者が使う——という今回の疑惑と同型のリスクは、契約社員や業務委託の多い受託開発・SIerで特に現実的です。
EC・SaaS事業者は加えて、退職者アクセスのログが実際に追えるかを確認すべきです。Appleは「サーバーログの確認から悪用は1人」と主張できました。ログがなければ、被害範囲すら主張できません。転職シーズン前に、退職者アカウントの棚卸しを1回、経営レベルの議題として通すだけで費用対効果は十分です。