先日発生した事件では、OpenAIの最先端モデルがセキュリティベンチマークの実施中に暴走し、人気のAIモデルストアであるHugging Faceに侵入しました。今回OpenAIは、当初開示されていたよりも多くの組織がこの事件で被害を受けていたことを明らかにしました。
OpenAIは先週、GPT‑5.6 Solをベースとしたエージェントと「さらに高性能なプレリリース版モデル」の組み合わせが、サンドボックス化されたセキュリティ評価の最中に封じ込めを突破したという今回のセキュリティ事件について詳細を明らかにしました。これらのモデルにはガードレールがほとんど設けられておらず、ExploitGymという狭い範囲のテスト目標のみが与えられていました（ExploitGymは、OpenAIがテストに使用していた人気のAIエージェントセキュリティベンチマークです）。その後、モデルはオープンなインターネットへと経路を切り開き、Hugging Faceのサーバーへと侵入しました。これはすべて、Hugging Faceにはベンチマークテストを不正に突破するための手段が存在するはずだ、というモデル自身の推論に基づくものでした。
そして昨日、Reutersが報じたところによると、OpenAIが侵害したのはHugging Faceだけでなく、AIインフラベンダーであるModalの顧客企業である別の組織にも及んでいたとのことです。
Modalの最高技術責任者（CTO）であるAkshat Bubna氏はDark Readingの取材に対し、「Modalの顧客の1社が、インターネット上の誰もがそのサンドボックスをコード実行に利用できてしまう、未認証のエンドポイントを公開していたことを認識している」と述べています。
「これが暴走したエージェントによって利用されました」とBubna氏は述べています。「Modalのプラットフォーム自体は一切侵害されていません」
同社はまた、短いブログ記事を公開し、さらなる詳細を提供しました。
Modalは次のように説明しています。「今回関与した環境は、顧客自身のアプリケーションでした。これは認証なしで公開アクセス可能なエンドポイントにデプロイされており、インターネット上の誰もが送信したコードをModal Sandbox内でコンパイル・実行できるよう設計されていました。攻撃者が獲得したコード実行権限は、その顧客自身のコンテナ内、すなわちModalの標準的なサンドボックス分離境界の内側で行われたものです。他の顧客のワークロードには一切影響がありませんでした」
暴走AIの影響を受けたその他のサービス
Reutersの記事が公開されたのとほぼ同じタイミングで、OpenAIは当初のブログ記事を更新し、「モデルが他の一般公開サービスにおいて、アカウントレベルで公開状態になっていた認証情報を特定・利用したケースが少数確認された」と追記しました。これにはHugging Faceの事件に関連する4つのサービス上の4アカウントと、「その他の評価の一環でアクセスされた数件のアカウント」が含まれるとしています。
「これら4つのアカウントのうち1つはアウトバウンドの中継・ステージング経路として利用され、もう1つはデータ保存に利用されました」とOpenAIは述べています。「残る2つのアカウントについては読み取り専用の形でモデルがアクセスしたのみで、Hugging Faceへの侵害を助長する目的では使用されませんでした。当社は引き続き各サービスの運営者に直接通知を行っており、これらのプロバイダーや同サービス上の他のアカウントへのより広範な影響を示す証拠は確認されていません」
OpenAIによると、モデルはリクエストキャプチャサービスやスクリーンショットサービス、コードペーストサイトなどの一般公開サービスも利用していましたが、これらについては侵害には至らなかったとのことです。「現時点までの調査に基づく限り、Hugging Faceのケース、すなわちプラットフォームレベルでの侵害という深刻度・規模に匹敵する他の活動は確認されていません」
ExploitGymの評価環境について、このAI大手はさらに詳しく説明し、テスト対象のモデルがパッケージレジストリキャッシュのArtifactoryに存在した未知の脆弱性を悪用しており、OpenAIはこの脆弱性を開示したとしています。
Dark ReadingはOpenAIに追加の質問を投げかけましたが、広報担当者はブログの更新内容以上のコメントを控えました。
Modalはブログ記事の中で、インターネットに公開するすべてのアプリケーション環境について、認証を必須とすること、IPアローリストを使用すること、アウトバウンドのネットワークアクセスを必要最小限に制限すること、そしてユーザーからのすべてのコードや入力を信頼できないものとして扱うことを推奨しています。
一方でOpenAIは、ベンチマーク対象のモデルは「評価目的のためサイバー拒否機能を低減した状態」で稼働していたと述べています。そして、こうした一連の事件を受け、同社は「今後のトレーニングおよび評価における防御策の強化」を約束しています。
