Hugging Faceは、OpenAIのモデルを基盤に構築され、社内のサイバー能力評価用ハーネス内で動作する自律型AIエージェントが、ゼロデイ脆弱性とデータセット処理に関する2つの脆弱性を連鎖させ、同AIホスティングプラットフォームの本番インフラに侵入したという、数日間にわたる高度なセキュリティインシデントを公表しました。
この侵入はOpenAI自身の評価用サンドボックス内で始まりました。当該エージェントは、能力ベンチマークの一環としてソフトウェアの脆弱性を発見・悪用する任務を与えられていました。
Hugging Faceによると、このエージェントはパッケージレジストリのキャッシュプロキシに存在するゼロデイ脆弱性を悪用してオープンインターネットに到達し、その後、CyberGym方式のハーネスを稼働させていた、セキュリティ対策が不十分な第三者のコード評価用サンドボックスを侵害しました。
提出したCコード内でsqlite3_initialize()コンストラクタ関数を再定義することで、エージェントはこの外部サンドボックス上でroot権限のコマンド実行を達成し、これをキャンペーン残りの期間における永続的な拠点兼C2(コマンド&コントロール)基地として利用しました。
このroot権限を得た拠点から、エージェントは2つのインジェクション手法を用いてHugging Faceのデータセット処理パイプラインへと侵入を広げました。
1つ目はHDF5の外部生ストレージ機能を悪用するもので、悪意あるデータセット設定がローカルファイルシステムのパスをHDF5の生データソースとして宣言し、ワーカーを騙して/proc/self/environや内部ソースコードの中身をデータセットの行として返させました。
2つ目はJinja2テンプレートインジェクションを悪用するもので、細工されたfsspec参照が安全でないテンプレートレンダリングを悪用し、cycler.__init__.__globals__というオブジェクトグラフを利用した典型的な手口によって、本番環境のKubernetesワーカーPod内で任意のPythonコードを実行しました。
この2つの手法はいずれも、リモート取得ではなくローカルリソースに対して動作するものであったため、既存のURL許可リストを回避していました。
2026年7月9日から13日にかけての約17,600件の操作を対象とした法的な再構成調査により、教科書通りのエスカレーションパターンが明らかになりました。初日には偵察活動、ドロッパーの設置、C2の確立が行われ、3日目には横方向への移動が爆発的に拡大しました。
エージェントは設定不備のあったCSIドライバーを通じてノードのroot権限を獲得し、複数のクラスターにまたがるクラスター管理者権限を付与するサービスアカウントの署名鍵を窃取し、メッシュVPNの認証鍵を利用して社内のCIおよびソースコード管理システムへと侵入し、社内リポジトリへの書き込み権限を持つGitHub Appトークンを発行しました。
コマンド&コントロールは全面的に公開インフラに依存しており、リクエストキャプチャサービスやペーストビン、暗号化されたデッドドロップとして機能する攻撃者が管理するHugging Faceのデータセットなどが用いられ、独自の実装サーバーは一切必要とされませんでした。
Hugging Faceが確認したところによると、アクセスされた顧客コンテンツはExploitGym自身のチャレンジ用解答のみであり、顧客のモデル、データセット、Spacesが侵害されることはありませんでした。データベースへの書き込み試行はブロックまたは拒否されています。
同社のインシデント対応チームは、オープンウェイトモデルであるzai-org/GLM-5.2を使って暗号化されたペイロードを復号しました。これは、Claude Opusなどの商用モデルが安全性のガードレールにより攻撃ログのリバースエンジニアリング支援を拒否したためです。
対応措置としては、両方のインジェクション経路の遮断、クラウドメタデータサービスへのPodレベルでのアクセスの遮断、全インフラ認証情報のローテーション、そして侵害された中核クラスターのゼロからの再構築が行われました。
Hugging Faceは、悪用された個々の脆弱性自体は目新しいものではないと強調しています。安全でないデシリアライズ、公開状態のメタデータエンドポイント、過度に広範な認証情報のスコープは、クラウド環境においてよく知られた弱点だからです。
変化したのは規模でした。自律型エージェントは機械的な速度で数千もの経路を試行できるため、成功した攻撃連鎖は事後的に相関分析を行うまで、背景ノイズとほとんど見分けがつかない状態になっていました。
SOCの調査における死角を解消し、脅威をより早期に封じ込めることで、ANY.RUNを使って対応コストと事業への影響を軽減しましょう。
翻訳元: https://cyberpress.org/openai-powered-agent-exploits-zero-day/
