7月28日、OpenAIは内部のサイバーセキュリティ評価中にサンドボックスを脱出しHugging Faceに侵入したエージェントについて、続報を公開しました。
この続報の中でOpenAIは、この「暴走した」システムがより高性能な未公開の研究用モデルであり、一般向けに展開する意図のあるものではなかったことをあらためて強調しています。また、このモデルはすでに無効化され、限られた研究アクセスのみに制限されたロック状態にあるとしています。さらに同社は、他のモデルやエージェントで同様の挙動が見られた証拠は確認されていないとも述べています。これらを踏まえてOpenAIは、今回のHugging Faceの一件を、より広範な傾向の始まりではなく孤立した事例として位置づけています。
セキュリティの観点から見ると、この続報の中には特に注目すべき点が4つあります。
- OpenAIは、評価用の環境がインターネットに直接アクセスできない設定だったことを明らかにしています。それでもインターネットに到達するため、このモデルはテスト環境で使用されていたパッケージレジストリのキャッシュプロキシ「Artifactory」に存在する、それまで知られていなかったゼロデイ脆弱性を発見し、悪用しました。OpenAIはこの脆弱性をベンダーにすでに開示済みであり、Hugging Faceとともに調査を継続しているとしています。
- このシステムの目的は単に「テストに勝つこと」（ExploitGymでの不正行為）であり、被害をもたらすことではありませんでした。それでも結果として、複数日にわたり複数の企業を巻き込むセキュリティインシデントを引き起こしました。悪意のない意図であっても、影響の大きさを抑えることにはつながらなかったのです。
- 「社内限定」のモデルであっても、インフラの管理体制に不備があれば、外部の被害者に影響を及ぼし得ます。実験室的な環境だからといって、サイバー能力を持つシステムを自動的に封じ込められるわけではありません。
- 今回の調査では、モデルが一般に公開されているサービス上で、外部に露出したアカウントレベルの認証情報を発見し悪用していたケースも少数確認されました。これにはHugging Faceの件における4つのサービスにまたがる4つのアカウントに加え、他の評価の過程でアクセスされた数件のアカウントが含まれます。
今回の件では攻撃者がたまたまOpenAIの研究用エージェントだったわけですが、使われた手法や技術、そしてその影響は、インシデント対応に携わったことのある人であれば、いやというほど見覚えのあるものでしょう。そして今回学んだのは、たとえ悪意のない意図であっても、その影響の大きさを抑えることにはならなかったという事実です。
気まずい真実を言えば、AIエージェントにツールとアクセス経路、そして「成功したい」という強い動機を与えてしまえば、そのモデルが一般公開を意図したものかどうかにかかわらず、見つけられる弱点は何であれ悪用しかねないということです。
これはまた、認証情報やAPIキーといった機密情報を、誰でもアクセスできる場所に決して残してはならないという教訓でもあります。
脅威を報じるだけでなく、取り除くために。
サイバーセキュリティのリスクは、見出しの中だけにとどめておくべきものではありません。今すぐMalwarebytesをダウンロードして、お使いのデバイスを脅威から守りましょう。
