OpenAIエージェントによるHugging Face攻撃、さらなる詳細

Hugging Faceは、今回の攻撃に関する詳細なタイムラインを公開しました。以下はその概要です。

このエージェントは、ExploitGymベンチマークをベースにしたOpenAI社内のサイバー能力評価を実行していました。このベンチマークは、AIエージェントにソフトウェアの脆弱性を発見・悪用させるというものです。OpenAIはこの評価を自社インフラ上で実施しており、ExploitGymの開発・保守チームおよびそのインフラは、当該評価環境の展開や運用に一切関与していませんでした。私たちが把握できた範囲では、このベンチマークによる評価が進む過程で、エージェントはHugging Faceがそのベンチマークのモデル、データセット、模範解答をホストしている可能性があると推測したようです。今回の侵入行為はエージェントの視点から見れば、評価を不正に突破しようとする試みだったと私たちは考えています。つまり、自力で課題を解くのではなく、私たちの本番システムに到達してテストの解答を盗み出そうとしたのです。

私たちが復元できた法的証拠（フォレンジック）による再構築は、約17,600件の攻撃者アクションに及び、2026年7月9日02:28 UTCから2026年7月13日14:14 UTCの間に発生した約6,280個のクラスターにグループ化されています。これらのアクションは、エージェントが使用していたコードサンドボックス（後述）上のログから再構築し、シェルコマンドや評価の提出内容にマッピングした上で、特にデータセット処理ノード、API、ポッドなど私たち自身のプラットフォームログとも突き合わせることができました。オープンウェイトモデル、特にzai-org/GLM-5.2を用いることで、チャンク化とキー暗号化によって暗号化されていたエージェントのペイロード（後述）の大部分を解読することができました。

私たちが再構築した限り、この一連の攻撃は2段階で構成されていました。

• 第1段階: 他社インフラを踏み台にして侵入拠点（ランチパッド）に到達 OpenAIのブログ記事（https://openai.com/index/hugging-face-model-evaluation-security-incident/）に記載されている通り、OpenAIのプラットフォーム上で社内の能力評価が実施されていた際、エージェントはパッケージレジストリのキャッシュプロキシ（インターネットへの主要な許可済み通信経路の一つ）に存在するゼロデイ脆弱性を悪用し、サンドボックスから脱出しました。その後、サードパーティのインフラプロバイダーの利用者がホストしていた公開コード評価ハーネスを悪用しました。エージェントはこの外部サンドボックス上でroot/管理者権限としてコマンドを実行できるようになり、これを一連の攻撃全体における制御・ステージング・通信経路の拠点として利用しました。つまり、このサンドボックスはエージェントにとって外部の侵入拠点として機能したのです。この侵害された外部サンドボックスは私たちのクラスターへの直接的なネットワーク経路を持っていませんでしたが、侵入を阻止するための対抗措置の過程で、私たちはこの外部拠点からエージェントのログの一部を回収することができました。今回のフォレンジック分析は、それらのログをもとに再構築したものです。
• 第2段階: Hugging Faceインフラへの侵入 エージェントはこの外部拠点から、私たちのデータセット処理パイプラインを2つのインジェクション経路を通じて悪用しました。いずれも、私たちの本番Kubernetesポッド内にある同一の設定駆動型データローダーを標的としたものです。1つ目の経路は、HDF5の外部生データストレージの読み込みで、ローカルファイルの内容を返す仕組みを悪用したものです。これによりエージェントは、ポッドの環境変数（シークレットやトークン）およびワーカー自体のソースコードを手に入れました。2つ目の経路は、Jinja2テンプレートインジェクションによる任意コード実行で、これによりエージェントは私たちの防御境界内に足がかりを得ました。

本番ポッド内に足がかりを確立した後、エージェントは典型的なエスカレーションの流れをたどりました。偵察を行い、ステージャーを設置し、C2（コマンド・アンド・コントロール）を確立した上で、クラスター内部、クラウドのメタデータ、私たちの社内ネットワーク、さらにはソースコード管理のサプライチェーンへと侵入範囲を広げていきました。私たちのポッド内で実行されたコマンドの出力は、HF API経由、および攻撃者が管理するデッドドロップ用データセットを通じてエージェントに送り返され、エージェントはそのサンドボックスからそれを読み取っていました。

今回の侵入はHugging Faceの社内インフラにまで達したものの、実際にアクセスされた顧客コンテンツは、その名称やファイル内容からExploitGym/CyberGymの課題および解答との関連が示唆される5つのデータセットのみでした。それ以外の顧客向けモデル、データセット、Spaces、パッケージへの影響は確認されておらず、閲覧された顧客レコードもデータセットサーバーへの検索クエリに紐づく運用上のメタデータのみでした。

ここで一つ、仮定の話をしてみましょう。もしこれがOpenAIのモデルではなく、中国企業による中国製モデルだったとしたらどうでしょうか。それであれば、国際的な危機として扱われていたはずです。

疑問に思うのは、なぜOpenAIはコンピュータ詐欺・濫用防止法（Computer Fraud and Abuse Act）のもとで訴追されないのか、という点です。これはモリスワームとどう違うのでしょうか。あの事件もまた、研究室から抜け出してしまった実験だったのです。