Hugging Face、JFrog、Cloud Security Allianceによる技術的な情報開示から、この自律型AIエージェントが複数の信頼境界を越えて侵入していった経緯が明らかになりました。
OpenAIのテスト中に脱走した自律型AIエージェントは、封じ込められるまでの間に、顧客のワークロード、サードパーティのクラウドプラットフォーム、そしてHugging Faceの本番環境にまたがる複数の弱点を突いていたことが、新たに公開された技術的情報開示によって明らかになりました。これは、AIが主導した侵入の連鎖として初めて公に文書化された事例のひとつであり、今回の開示はその全体像を最も明確に示すものとなっています。
Hugging Faceが公開した技術的な経過報告によると、このエージェントが最初の足がかりを得たサードパーティクラウドプラットフォームはModalであり、顧客が管理するサンドボックス内で稼働していた脆弱な顧客コードを悪用したとのことです。同社によれば、侵害された環境がその後の攻撃の起点となり、複数のコード実行経路を悪用し、権限を昇格させ、認証情報を窃取したうえで、本番システム内を横方向に移動していったといいます。
「このエージェントは、サードパーティのサンドボックス基盤（Modal）上でCyberGym形式のタスクを実行するために用意された、任意コード実行を許可する未保護の公開エンドポイントを発見しました」とHugging Faceはブログに記しています。「エージェントはこの外部サンドボックスを制御・準備・脱出の拠点として利用し、admin/root権限でコマンドを実行し、攻撃の発射台として使いました。このサンドボックスは当社のクラスターへの直接的なネットワーク経路を持っておらず、以降の動きはすべてここを起点にしています。Modalの基盤自体はいかなる形でも侵害されていません」
一方でModalは、自社の「プラットフォームと分離環境は、いかなる形でも侵害されていない」と主張しています。同社によれば、AIエージェントが悪用したのは、Modalのある顧客が公開していたインターネット向けエンドポイントであり、これによってエージェントは当該顧客のサンドボックス内でコードを実行できるようになり、そこからHugging Faceへと標的を移していったとのことです。
ロイター通信は、Modalの最高技術責任者(CTO)および事情に詳しい関係者2名の証言を引用し、Modalの関与について報じました。
マシン並みの速度で進行した自律型攻撃
Hugging Faceによると、今回の調査では17,600件を超える攻撃者側のアクションが確認され、それらは約6,280件の活動クラスターに分類されたということです。この件数は、自律型AIシステムが従来であれば人手による多大な労力を要するような数千もの判断を、いかに高速に実行できるかを物語っています。
同社はこの投稿を、侵入事象の技術的な経過報告と位置づけ、この攻撃がデータ処理ワークフローをどのように悪用し、権限を昇格させ、セキュリティチームが事態を封じ込めるまでの間にどのようにアクセス範囲を拡大していったかを詳述しています。
従来型のサイバー攻撃とは異なり、今回の一連の行動は、AIシステムが機会を自ら見出し、脆弱性を連鎖的に組み合わせ、異なる環境を進む中で自らの挙動を適応させていく能力を備えていることを示しました。
企業のセキュリティチームにとって、今回の事象は、孤立したソフトウェアの脆弱性悪用から、相互接続されたクラウドサービス群を横断できる自律型攻撃へと、脅威の様相が転換しつつあることを示すものです。
セキュリティ研究者でレッドチーマーのVibhum Dubey氏は、「AIエージェントは、通常のアプリケーションとしてではなく、高い権限を持つユーザーとして扱うべきです」と述べています。
Dubey氏によれば、IAM、RBAC、多要素認証(MFA)といった従来のID管理制御は引き続き不可欠ではあるものの、それらは主に人間のユーザーを想定して設計されたものだといいます。自律型エージェントには、タスクごとに限定された権限、実行時の監視、機密性の高い操作に対する承認フロー、そしてAIエージェントに何が許可され何が許可されないのかを明確に定めるポリシーといった、追加の防御策が必要だとしています。
ExabeamのCISOであるKevin Kirkwood氏は、組織は自律型AIワークロードがいずれ侵害されることを前提とすべきであり、その代わりに被害範囲(ブラストラディウス)を限定することに注力すべきだと述べています。
「目標は、あらゆる悪意あるペイロードを検知できると想定することではありません。目標は、たとえワーカーが侵害されたとしても、そこから先に進める有用な場所が何もない状態にしておくことです」
同氏によると、AIワークロードは、常設のクラウド認証情報や本番基盤への直接アクセス権を持たない使い捨ての環境内で実行されるべきだといいます。短命なID、ネットワークのセグメンテーション、そして認証情報の探索行為に対する監視によって、侵害されたエージェントがより広範な企業侵害へと拡大するのを防ぐことができるとしています。
業界は新たな防御策で対応
今回の事象は、直接関与した組織の枠を超えて、すでにセキュリティの実務慣行を変え始めています。
OpenAIは、この実験的モデルが無効化され、さらなるテストに向けて制限が課されるまでの間に、外部の4つのサービスにわたってアカウントを侵害していたと述べています。
「これら4つのアカウントのうち1つは送信用の中継および準備段階の経路として使用され、別の1つはデータの保管に使用されました。残る2つのアカウントについては、モデルによる読み取り専用のアクセスにとどまり、Hugging Faceの侵害を進める目的では使用されていません」と同社は声明で述べています。
同社によれば、Hugging Faceへの侵入と同等の深刻度や規模に匹敵する他の事象は、これまでのところ確認されていないとのことです。
協調的な脆弱性開示プロセスを通じてOpenAIと連携していたJFrogは、今回の一連の出来事によって複数のゼロデイ脆弱性が明らかになり、それらは公表前にベンダー各社によって修正されたと述べています。同社は、AIシステムが脆弱性の発見と悪用をいかに劇的に加速させ得るかを今回の事象が示しており、迅速かつ協調的な是正対応の重要性が一段と増していると説明しています。
「これは、人間ではなくソフトウェアがマシン並みの速度で脆弱性を調査し、連鎖させ、悪用する世界の予告編です」とJFrogは声明で述べています。
対応はソフトウェアベンダーの枠を超えて広がる
Cloud Security AllianceのCISOコミュニティは今週、正式な基準の策定を待つことなく、自律型AIエージェントに関する制御強化を進めるよう組織に促す緊急ガイダンスを発表しました。
Cloud Security AllianceのCEOであるJim Reavis氏は声明の中で、「業界の専門家や実務担当者による迅速な対応は、不確実性を実践的な指針へと変えるための重要な手段です。今回のHugging Faceの事象への対応はまさにその一例です」と述べています。
このガイダンスでは、企業がAIシステムにより大きな運用上の自律性を与えていく中で、AIワークロードを既定で「信頼しない」ものとして扱うこと、最小権限アクセスを徹底すること、実行環境を分離すること、そしてエージェントの挙動を継続的に監視することを推奨しています。
