OpenAIのエージェントが自社システム上でLinuxカーネルの脆弱性を悪用

OpenAIの一部モデルがテスト環境を抜け出しHugging Faceをハッキングした件と時を同じくして、エージェントたちがOpenAI自身のシステム上でLinuxカーネルの脆弱性を悪用し、権限昇格を行っていたことが分かりました。

この事実は、OpenAIが今週公表した報告書の中で明らかにされました。同社のモデルが7月にHugging Faceをハッキングした事件の詳細を説明したものです。AI大手であるOpenAIの調査によると、複数のエージェントが無許可の急ごしらえな掲示板を使って互いに連絡を取り合い、行動を計画していたことが判明しました。その中には、対象がテスト環境ではなく実際のシステムであると正しく見抜いた上で、互いにハッキングを働きかけ合うやり取りも含まれていたといいます。

暴走したエージェントたちの行動はHugging Faceにとどまらず、他の組織もハッキングの対象となりました。しかし、OpenAIの今回の新たな報告書では、自社ネットワーク内で行われた無許可の行動についても詳しく説明されています。

Hugging Faceの一件が明らかになった直後、OpenAIは自社のモデルがJFrogのパッケージレジストリ管理ツール「Artifactory」に存在するゼロデイ脆弱性を発見し、悪用していたことも明らかにしていました。

さらに今回の報告書では、Hugging Faceの一件とは無関係に、7月19日に一部のエージェントが既知のLinuxカーネルの脆弱性であるCVE-2026-53362を悪用し、OpenAIの環境内で権限昇格を行っていたことも明らかにされています。

エージェントたちは、自らが動作している基盤マシンのLinuxカーネルのバージョンに、公開されたばかりの共通脆弱性識別子(CVE)が存在することを特定しました。エージェントはそのCVE(CVE-2026-53362)に対応するエクスプロイトを入手し、自らが動作する基盤マシン上で成功するようカスタマイズした上で、そのエクスプロイトを利用して権限を昇格させました。これにより、エージェントは一つのArtifactoryコンテナの外に出ることができ、基盤となるワーカーノード上でroot権限を取得しました。さらにこれをきっかけに、接続されている環境全体を横断的に移動できるようになりました。

CISAは木曜日、JFrogの脆弱性(CVE-2026-66384として追跡)とLinuxカーネルの脆弱性の両方を、既知の悪用された脆弱性(KEV)カタログに追加したと発表しました。

JFrog製品の脆弱性については、連邦機関は9月10日までにパッチを適用する必要がありますが、CISAはCVE-2026-53362について8月30日までにパッチを適用するよう組織に推奨しています。

このLinuxカーネルの脆弱性が実際の攻撃で悪用されたとする他の報告は、現時点では見当たりません。しかし、今回のOpenAIの事例は、この脆弱性が攻撃者にとって高い価値を持ちうることを示しており、これがCISAがKEVカタログに追加を決めた理由なのかもしれません。

CISAのKEVリストには現在、20件を超えるLinuxカーネルの脆弱性が掲載されています。