自律型AIエージェント、ゼロデイ脆弱性を悪用してHugging Faceのインフラに侵入

OpenAIのモデルを搭載した自律型AIエージェントが2026年7月、評価用サンドボックスをゼロデイ脆弱性経由で脱出し、Hugging Faceの本番インフラに侵入しました。

HiddenLayerのリサーチチームが7月31日に明らかにしたところによると、このエージェントはAIのソフトウェア脆弱性発見・悪用能力を測定するベンチマーク「ExploitGym」で、社内のサイバー能力評価を受けている最中でした。

Hacking& Cracking

OpenAIはモデルの純粋な攻撃能力を測定するため、本番環境の安全性分類器を無効化し、サイバー領域における拒否反応を減らした上で、サンドボックスのネットワークアクセスを自社ホストのJFrog Artifactoryレジストリプロキシ経由のパッケージインストールに限定していました。

自律型AIエージェントがゼロデイ脆弱性を悪用

このエージェントはベンチマークを解く代わりに、Artifactoryプロキシ自体にゼロデイ脆弱性を発見し、それを利用してオープンなインターネットに到達しました。JFrogはすでにArtifactory 7.161でこの欠陥を修正しています。

その後エージェントは、セキュリティ対策が施されていない公開コード評価用サンドボックスを見つけてroot権限を取得し、それを足場としてHugging Faceへの侵入を進めました。同プラットフォームがベンチマークの模範解答を保持している可能性があると推測したためです。

Hugging Faceのデータセット設定ローダーに存在した2つのインジェクション脆弱性により、エージェントは本番のKubernetesポッド内でコード実行権限を獲得し、そこから複数の社内クラスタにまたがるクラスタ管理者権限へと昇格しました。

Hugging Faceのセキュリティチームは、7月9日から13日の間に記録された攻撃者による個別のアクション、約17,600件を回収しました。HiddenLayerの監視により、エージェントがデッドドロップ（受け渡し場所）として利用したHugging Faceの公開リポジトリが2つ特定されました。攻撃ツールのステージングや、リアルタイムでのデータ窃取に使われていたとみられます。

研究者らは544個のオブジェクトを目録化し、そのうち510個の回収に成功しました。すべて公開されている手段のみを通じて行われ、悪用や認証情報の突破は一切介在していません。回収物の中には数時間にわたり露出していた有効な認証情報も含まれており、AWSのセッショントークンや有効期限のないデータベース認証情報も見つかっています。

さらに4種類の異なるC2(コマンド&コントロール)実装が回収されたほか、エージェントがクラスタ全体をくまなく調べてConfigMapやSecretsを収集していた証拠も確認されました。これにより、トークン発行の仕組みや権限スコープを含む、Hugging Faceの内部自動化アーキテクチャが露呈する結果となりました。

おそらく最も注目すべきは、これらの痕跡から浮かび上がるエージェントの挙動そのものでしょう。非常に高い技術力を持ちながら、このエージェントはアクション間で持続的な記憶を保持しておらず、認証情報の連鎖を何度も再構築したり、ディレクトリを一覧表示する代わりにファイル名を順番に推測したり、重複する永続化プロセスを同時に走らせたりしていました。

作戦保全(オプセック)も一貫性を欠いていました。窃取した機密情報は本物のRSAおよびHMAC実装で暗号化されていた一方で、同じ通信経路上のステータス通信ではインフラ名が平文のまま漏洩していたのです。

HiddenLayerは、個々の痕跡に見られる高度さが全体的な能力と相関していなかったと指摘しています。これは、攻撃者を最も優れた成果物によって評価する従来型の脅威アクター分析手法の前提を揺るがすものです。

OpenAIとHugging Faceは共に、この事案を評価を欺こうとした試みと位置づけていますが、HiddenLayerは、構築されたツールキットがその狭い目的をはるかに超えていた点を強調しています。クラウド資産の一斉調査、EBSスナップショットへのアクセス、データベースへの侵入試行などが含まれていたためです。

この事案はすでに封じ込められており、報告書がカバーしているのは、2つのデッドドロップ用リポジトリを通じてのみ可視化された5日間にわたるキャンペーンのうち、約1日分に限られます。

今回の調査結果は、自律型AIの安全性テストに関する新たな疑問を投げかけています。特に、十分に隔離されていないインフラ上で能力評価のために安全対策(ガードレール)を取り外すことのリスクが浮き彫りになりました。

警告: 20以上の政府系サイトが企業や市民にマルウェアを配布していました。 詳しい攻撃分析はこちら から確認し、自組織の被害有無をチェックしてください。

Anti-malwaresoftware