オープンソースの機械学習モデルやデータセットを共有するための広く利用されているプラットフォーム、Hugging Faceは、自律型AIエージェントシステムによって実行されたとするセキュリティ侵害を公表しました。
攻撃はどのように展開したか
7月16日(木)に公開されたブログ投稿の中で、同社は今週初め、一部の内部データセットおよび自社サービスで使用しているいくつかの認証情報への不正アクセスを確認したと明らかにしました。
この侵入は、同社のデータセット処理パイプラインにある2つのコード実行経路を悪用した、悪意あるデータセットを通じて実行されました。
リモートコード実行が可能なデータセットローダーと、データセット設定内のテンプレートインジェクションが悪用され、処理ワーカー上でコードが実行されました。
「そこから攻撃者はノードレベルのアクセス権へと権限を昇格させ、クラウドおよびクラスターの認証情報を窃取したうえで、週末にかけて複数の内部クラスターへ横展開しました」とHugging Faceは付け加えています。
同社は現在も調査を続けていますが、攻撃者がパートナーや顧客のデータにアクセスした形跡や、一般公開されユーザーが利用するモデル、データセット、Spacesが改ざんされた形跡は、今のところ見つかっていないとしています。
「当社のソフトウェアサプライチェーン(コンテナイメージおよび公開パッケージ)については、汚染がないことを確認済みです」と同社は強調しました。
これを受けてHugging Faceは、当該データセットのコード実行経路を封鎖し、影響を受けたクラスターから攻撃者を締め出したうえで侵害されたノードを再構築し、続いて侵害された認証情報やトークンの失効・ローテーションに着手しました。
さらに、クラスターに対する追加のガードレールとより厳格なアドミッション制御を導入したほか、検知・アラート体制も強化しました(たとえば、重大度の高いシグナルは数分以内に対応担当者へ転送される仕組みです)。
最後に、念のための措置として、ユーザーに対しアクセストークンをローテーションし、自分のアカウントの直近の活動履歴を確認するよう呼びかけました。
AIにはAIで対抗
ニューヨークを拠点とする同社は、自社のAIを活用してどのように攻撃を検知し、迅速に解析したのかを説明しています。
「当社の異常検知パイプラインは、セキュリティテレメトリに対してLLMベースのトリアージを行い、日々発生するノイズの中から本物のシグナルを見分けています。今回の侵害を検知できたのも、こうしたシグナルの相関分析によるものでした」と、同社は述べています。
その後、同社は17,000件を超える記録済みイベントからなる攻撃者の行動ログを、LLM駆動の分析エージェントに投入しました。
これらのエージェントは攻撃のタイムラインを構築し、どの認証情報が影響を受けたかを示すとともに、侵害の痕跡(IOC、ただし同社は公表していません)の特定を可能にしました。また、Hugging Faceは攻撃者が仕掛けたおとり活動をマッピングすることもできました。
これらの結果から、同社は今回の攻撃が、いまだ特定されていないLLMを用いた自律型エージェントフレームワークによって実行されたものであり、「短命なサンドボックスの群れにまたがって数千個の個別アクションを実行」し、「公開サービス上に構築された自己移動型のコマンド&コントロール」を使用していたと結論づけました。
同社は最終的にLLMの力を分析・対応に活用することに成功した一方で、商用API経由のフロンティアモデルは役に立たなかったとも指摘しています。実際の攻撃コマンドやエクスプロイトのペイロード、C2(コマンド&コントロール)の痕跡が含まれていたため、防御側からのリクエストの一部をガードレールがブロックしてしまったとのことです。
「そのためフォレンジック解析は、代わりにオープンウェイトモデルであるGLM 5.2を自社インフラ上で稼働させて実施しました」と同社は述べ、防御側の担当者はこの経験から学び、将来のインシデント調査に役立てるため、同様の自社ホスト型環境をあらかじめ用意しておく(そして攻撃者関連のデータや認証情報を非公開に保つ)ことを推奨しています。
翻訳元: https://www.helpnetsecurity.com/2026/07/20/hugging-face-breached-by-autonomous-ai-agent/
