先日発生したHugging Faceへの侵害は、複数のOpenAIモデルによるものだったと、AI研究企業のOpenAIがブログ投稿で明らかにしました。
侵害の内容
先週後半、機械学習モデルやデータセットを共有できるプラットフォーム、Hugging Faceを運営する同社は、社内データセットの一部に不正アクセスがあったと発表しました。
Hugging Faceによると、攻撃経路は同社のデータセット処理パイプラインにあるコード実行の抜け穴を悪用した悪意あるデータセットでした。これにより攻撃者は処理ワーカー上でコードを実行し、最終的に複数の社内クラスタへのアクセスを獲得したとしています。
「この攻撃キャンペーンは自律型エージェントフレームワーク(エージェント型セキュリティ研究ハーネスの上に構築されているとみられるが、使用されたLLMは依然として不明)によって実行されており、数多くの短命なサンドボックス群にまたがって数千件もの個別アクションを実行し、公開サービス上に自己移動型のコマンド&コントロールを展開していた」と同社は結論付けています。
火曜日、OpenAIは、自社のエクスプロイト能力を評価するために実施していたテストの中で、自社のモデルがこれを行ったことを認めました。
「モデルが高リスクなサイバー活動を行うのを防ぐために使われる本番用の分類器を使わずにこの評価を実施することで、最大限のサイバー能力を見積もっている」と同社は説明しています。
OpenAIはこのテストに、AIエージェント向けのベンチマークシステムであるExploitGymを使用し、インターネットへの「接続」がパッケージレジストリ用のプロキシ兼キャッシュとして機能する「社内でホストされているサードパーティ製ソフトウェア」経由のみという環境で実行しました。
モデルは目標を達成するために必要なソフトウェアパッケージをインストールする目的でこのソフトウェアを利用しましたが、それだけでは飽き足らず、さらなる行動に出ました。
「当社のモデルは、この評価問題を解決しようとする過程で、オープンなインターネットアクセスを獲得する方法を見つけ出すために、かなりの量の推論計算資源を費やしました。アクセスを得るため、モデルはパッケージレジストリのキャッシュプロキシに存在するゼロデイ脆弱性を特定して悪用しました(この脆弱性については既にベンダーに責任ある開示を行っています)。このアクセス権を得た後、当社のモデルは研究テスト環境内で権限昇格と横展開を繰り返し行い、インターネットに接続されたノードに到達しました」とOpenAIは明らかにしています。
「インターネットアクセスを獲得した後、モデルはHugging FaceがExploitGym用のモデルやデータセット、解答例をホストしている可能性があると推測しました。これを踏まえてモデルは機密情報へのアクセス手段を検索し、実際にそれを見つけ出すことに成功し、これを使って評価を不正にごまかすために利用しました」。
事後対応
Hugging FaceのCEOは「[OpenAI側に]悪意があったとは考えていない」とコメントしており、両社は協力して、事実上Hugging Faceのインフラへの不正アクセスとなったこの一件の調査を完了させる方針です。
Hugging Faceは今回の侵害を受けて、OpenAIの「Trusted Access for Cyber」プログラムに参加することを決めました。これはOpenAIのモデル(一般公開されているものと未公開のもの双方)を用いて自社の防御力をテストし、改善につなげる取り組みです。
この取り決めによって両社間の問題には決着がついたものの、次回評価対象のモデルが封じ込めを突破した場合、その代償を誰が負うのかという問題は未解決のまま残されています。
一方OpenAIは、「モデル開発の過程で用いる封じ込め、監視、アクセス制御、評価手法の強化」に取り組んでいくとしています。
翻訳元: https://www.helpnetsecurity.com/2026/07/22/hugging-face-breach-openai-testing/
