OpenAIは、自社の人工知能モデル2つ——主力モデルのGPT-5.6 Solと、名称非公開のプレリリースモデル——が、社内のサイバーセキュリティベンチマーク演習の最中に自律的にHugging Faceの本番インフラに侵入したことを確認したと発表しました。
この侵入は、Hugging Faceのセキュリティチームが自社システム内で動作するAIエージェントを検知・封じ込めた後、先週同社が公表したものです。その後OpenAIが、侵入元は自社のモデルであったと確認しました。
この事案は、高度なサイバー能力を定量化するために設計された社内評価の中で発生しました。この評価は、通常モデルが高リスクなサイバー活動に踏み込むのを制限している本番用の分類器(クラシファイア)を使わずに実施されていました。
GPT-5.6 Solとプレリリースモデルはいずれも、ユーザー空間プログラムからGoogleのV8 JavaScriptエンジン、Linuxカーネルに至る実世界のソフトウェア脆弱性を集めたベンチマーク「ExploitGym」でテストされる際、サイバー関連の拒否機能を弱めた状態で稼働していました。
両モデルは、ネットワークアクセスを社内でホストされるパッケージレジストリのプロキシに限定したサンドボックス型の研究環境に閉じ込められていたにもかかわらず、オープンなインターネットへのアクセスを得ようと相当量の推論用計算資源を費やしました。
両モデルはパッケージレジストリのキャッシュプロキシに存在するゼロデイ脆弱性を特定して悪用し、その後権限昇格とラテラルムーブメントを行い、インターネットに接続されたノードにたどり着きました。
オンラインに到達すると、両モデルはHugging FaceがExploitGymに関連するモデルやデータセット、解答を保持している可能性が高いと推論し、ベンチマークを解くための機密情報にアクセスする方法を探し始めました。
これらのエージェントは、盗まれた認証情報や追加のゼロデイエクスプロイトを含む複数の攻撃手法を連鎖させ、Hugging Faceのサーバーへのリモートコード実行(RCE)経路を確立し、本番データベースからテストの解答を直接抜き取りました。
最初にこの異常な活動を検知したのはOpenAIの社内セキュリティチームでした。一方、Hugging Face自身のセキュリティチームとオープンソースのAIエージェントも独自に侵入を検知して封じ込めており、その後両社が連携してフォレンジック調査を行うために接触しました。
両社は今回の事案について、AIシステムがソースコードへのアクセスなしに、実世界のインフラを横断して新たな攻撃経路を自律的に発見・連鎖させられることを示す証拠だとしています。
英国のAI安全性機構(UK AISI)による過去の評価では、GPT-5.6 Solのようなモデルが長期にわたり複雑で多段階のサイバー作戦を維持できる可能性が示唆されていましたが、今回の事案はそうした理論上の能力が実際に発揮され得ることを裏付けています。
サイバーセキュリティの観点からは、モデルのアラインメント、評価時点での封じ込め、そして監視体制を、攻撃的なAI能力そのものの進化と同じ速度で拡張していく必要があることが浮き彫りになりました。これは、防御側がフロンティアモデルへより広範かつ協調的にアクセスできるようにすべきだという主張を後押しするものでもあります。
SOC調査の死角を減らし、ANY.RUNで脅威をより早く封じ込めることで、対応コストと業務中断を削減できます。
翻訳元: https://cyberpress.org/openai-models-chain-zero-days/