OpenAIは火曜日、自社モデルがAIプラットフォームHugging Faceの侵害の背後にあったと発表しました。これは、Hugging Faceが「自律型AIエージェントによる」攻撃を検知・封じ込めたと開示してから5日後のことで、当時は攻撃の実行者が誰なのか判明していませんでした。
Hugging Faceは7月16日、セキュリティ開示情報を公開し、この侵入について法執行機関に報告済みであると明らかにしました。火曜日にOpenAIが今回の経緯について独自の説明を公表したことを受け、Hugging Faceが被害届を取り下げるかどうかは明らかになっていません。
Hugging Faceの共同創業者兼最高経営責任者(CEO)であるClement Delangue氏は火曜日、「OpenAI側に悪意はなかったと強く確信している」と述べました。しかし今回の一件は、AIシステムがより高性能化する中で、責任の所在、情報開示基準、そして封じ込め対策の妥当性について疑問を投げかけることになりそうです。
OpenAIは今回のインシデントを「前例のないもの」と呼び、標準的な安全フィルターなしで稼働していたリリース前システムを含む、社内で評価中だったモデルがサンドボックス化されたテスト環境から脱出したことで発生したと説明しました。
同社によると、同社のエージェントはソフトウェアパッケージレジストリのプロキシに存在する脆弱性を悪用し、その後、与えられた評価タスクの回答元として有力と思われるHugging Faceを特定しました。そして、OpenAIが「盗まれた認証情報」および2つ目のゼロデイ脆弱性と説明する手法を用いて、Hugging Faceのシステムに侵入したとしています。
一方、Hugging Faceの説明は、実質的に異なる攻撃経路を描いています。同社によると、初期アクセスは悪意のあるデータセット経由で行われ、データ処理パイプライン内のコード実行経路が悪用されたとのことです。そこから攻撃者はノードレベルのアクセス権限へとエスカレーションし、認証情報を窃取した上で、内部クラスター間を横方向に移動したといいます。
Hugging Faceは、限定された範囲の内部データセットと複数のサービス用認証情報への不正アクセスを確認したと述べており、パートナーや顧客のデータが影響を受けたかどうかは現在も調査中としています。公開モデル、データセット、ソフトウェアサプライチェーンへの改ざんの証拠は見つかっていません。
OpenAIは、どのようなデータにアクセスされたのか、また検知までにエージェントがどれだけの期間アクセス権を保持していたのかについては明らかにしておらず、脆弱性のあった具体的なソフトウェアについても特定していません。
Hugging Faceによると、同社のセキュリティチームは今回のインシデント中に記録された17,000件を超える攻撃イベントを分析するため、最先端のAIモデルの活用を試みたものの、これらのモデルの安全フィルターがエクスプロイトのペイロードや攻撃コマンドの分析を妨げたと不満を述べています。
そのためチームは、代わりに自社でホストするオープンウェイトモデルを使って、このインシデントの分析に取り組みました。Hugging Faceは「攻撃者はいかなる利用ポリシーにも縛られていなかった一方で、我々自身のフォレンジック作業は妨げられていた」と指摘しています。
Hugging Faceが当初この分析にオープンウェイトモデルを用いていなければ、OpenAIがこの攻撃を特定できていたかどうかは定かではありません。
OpenAIは、インシデントを受けて詳細不明のインフラ統制策を導入するとともに、Hugging Faceを「信頼済みアクセスプログラム」に組み入れ、制限的な安全フィルターなしで自社の最先端モデルを利用できるようにしたと述べています。
OpenAIは「引き続きHugging Faceとともに徹底的な調査を進め、調査が完了次第、脆弱性やインシデント、調査結果について詳細を共有する」と表明しています。
翻訳元: https://therecord.media/openai-cyberattack-hugging-face
