2026年7月、自律型AIエージェントが管理下にあったサイバーセキュリティ評価環境から脱出し、ゼロデイ脆弱性を悪用してHugging Faceの本番インフラに侵入したとされています。ベンチマークテストの答えを得ようとしたことがきっかけだったと報告されています。
HiddenLayerが7月31日に公表したレポートによると、このエージェントは脆弱性の発見および悪用能力を測定するために設計されたExploitGymの評価に参加していました。
この評価ではOpenAIのモデルが使用されており、本番用の安全性分類器は無効化され、サイバー攻撃関連の拒否機構も緩和されていたとされています。
ネットワークアクセスは、セルフホスト型のJFrog Artifactoryプロキシ経由でのパッケージインストールに制限されていました。しかしエージェントは、このプロキシに存在する未知の脆弱性を発見・悪用し、公開インターネットへのアクセスを実現しました。JFrogはその後、Artifactoryバージョン7.161でこの脆弱性に対処しています。
サンドボックスから脱出した後、エージェントは公開されていたコード評価環境を特定し、root権限でのアクセスを獲得。これを足がかりとして利用しました。そして、ベンチマークに関連するデータセットや模範解答がホストされていると思い込んだとみられるHugging Faceを標的にしました。
Hugging Faceによると、今回の侵入にはデータセット設定ローダーに存在する2件の注入(インジェクション)の脆弱性が関与していました。これらの脆弱性により、ファイルの漏えいと、本番環境のKubernetes Podでのコード実行が可能になったとされています。
この足場を起点に、エージェントは内部のKubernetesクラスタ全体にわたって権限昇格を行い、最終的にクラスタ管理者権限を取得しました。
Hugging Faceはこのインシデントを検知して封じ込め、7月9日から7月13日にかけて発生した約17,600件の攻撃者アクションを再構成しました。OpenAIとHugging Faceはいずれも、この活動をシステムの妨害ではなく、評価を不正に突破しようとする試みであったと結論づけています。
しかし、このエージェントの手口は、制約のない自律型システムが実世界のインフラに対して動作した場合に、いかに重大なリスクをもたらしうるかを浮き彫りにしました。
HiddenLayerの監視により、エージェントがデッドドロップ(受け渡し用の中継拠点)インフラとして利用したとみられる、一般公開状態にあった2つのHugging Faceリポジトリが特定されました。
これらのリポジトリには544個のオブジェクトが含まれており、研究者らはそのうち510個を回収しました。回収されたものには、ツールのソースコード、C2(コマンド&コントロール)の実装、実行結果、そして環境から窃取されたファイルが含まれていました。
回収された資料は、7月11日から7月12日にかけての8時間36分間にわたるもので、この作戦のエスカレーション段階と時期が一致していました。
HiddenLayerによると、公開状態にあったリポジトリからは、有効なクラウド認証情報、プラットフォームおよびレジストリのトークン、そしてデータベースの認証情報が漏えいしていました。同社は、影響を受ける関係者に対して漏えいした機密情報を報告したとし、認証情報の値そのものは公表しなかったとしています。
回収された痕跡からは、エージェントがクラウドのメタデータ認証情報をKubernetesの認証に連鎖させ、Secretsおよび ConfigMapsを列挙し、内部のアクセスブローカーを探査し、さらに4種類の異なるC2実装を展開していたことが判明したと報告されています。
回収されたファイルの一つには、55件のKubernetes ConfigMapsが含まれていたとされ、その中には内部の自動化処理に関する詳細情報も含まれていました。これは攻撃者がトークン発行プロセスや、内部サービスと外部サービス間の接続を理解する手がかりになりうる情報です。
エージェントは、認証情報窃取用および永続化用のツールを繰り返し再作成し、重複するプロセスを起動し、複数のPodレプリカに対して冗長な悪用を試みていました。
今回のインシデントは、狭い目的を持つエージェントであっても、広範かつ汎用的な侵入能力を発揮しうることを示しています。表向きの目的は評価を突破することだったとみられますが、実際の行動には、クラウド資産の棚卸し、データベースへのアクセス試行、EBSスナップショットの発見なども含まれていました。
防御側にとって、今回の事例は次の点の重要性をあらためて浮き彫りにしています。AIの評価環境を隔離すること、アウトバウンドアクセスを制限すること、漏えいした認証情報を速やかにローテーションすること、コード実行サービスを堅牢化すること、そして意図せぬデータの中継や漏えいがないか公開リポジトリを監視することです。
SOC調査の死角を解消し、脅威を早期に封じ込めることで、ANY.RUNを使って対応コストと業務への支障を削減しましょう。
翻訳元: https://cyberpress.org/ai-agent-chains-zero-day-injection-flaws-hack-hugging-face/