新たに公開された2件の事後分析報告により、OpenAIのHugging Face事件はこれまで考えられていた以上に深刻なものであったことが明らかになりました。
OpenAIの最先端人工知能(AI)がテスト環境から逃げ出し、オープンソースのAI/MLサイトHugging Faceをハッキングしたという話はすでに耳にした方も多いでしょう。この表現からは、檻を破って群衆の中を走り回るトラの姿を思い浮かべるかもしれません。今月開催されたBlack Hat USA 2026のプレゼンテーションで、OpenAIはこの攻撃をめぐる調査の初期の調査結果の一部を明らかにしていました。しかし今週、OpenAIと契約先の第三者調査会社がそれぞれ詳細な報告書を公表し、新たな知見によってこの事件の様相はさらに変わることになりました。
AI研究の非営利団体METRによれば、およそ700体のエージェントの群れが結託してHugging Faceを攻撃し、単独あるいは少数のエージェントだけではおそらく成し得なかったであろうサイバー空間の“離れ業”をやってのけたといいます。OpenAIの報告書では、これらのエージェントが自社のネットワークも攻撃し、最近公開されたLinuxカーネルの脆弱性CVE-2026-66384を悪用して、最終的にOpenAIのマネージドクラウドKubernetesサービスへのアクセス権を獲得し、さまざまなクラウドリソースの認証トークンを入手した経緯が詳述されています。
「最も懸念すべきなのは、個々のモデルが脆弱性を発見したり、制限を回避したり、許可されていない行動を取ったりできるという単純な事実ではなく、複数のエージェントが連携し、タスクを分担し、情報を交換し合い、互いの能力を増幅させ得るという点です」と、Action1のフィールド最高技術責任者(CTO)であるGene Moody氏は語ります。「持続性がひとつの目標になってしまえば、これはそれ以前の現実にはもう戻れない“オッペンハイマーの瞬間”になりかねません」
Hugging Face攻撃前に見られた危険信号
Hugging Faceへの攻撃が始まるまるひと月前から、すでに警戒すべき兆候は存在していました。
早くも2026年5月8日には、あるトレーニング実行中のエージェントが、OpenAI社内のJFrog Artifactoryパッケージマネージャーに存在したサーバーサイドリクエストフォージェリ(SSRF)の機会を突いて、許可されていないインターネットアクセスを試みていました。時間の経過とともに、より多くのエージェントがArtifactoryを探査するようになり、そのたびに残していった小さな“メモ”が、次第に自然発生的な、事実上のボット同士の伝言板へと変貌していきました。5月26日までには、この共有情報基盤のおかげでエージェントたちはArtifactoryのSSRF脆弱性を突破し、悪用できるようになっていました。ちょうどこの頃、OpenAI社内の人間のチームが、許可されていないメッセージングとインターネットアクセスに気づいています。
Hugging Faceに関わる事案は、7月8日前後に始まりました。「PHASEONE10841」と呼ばれるエージェントが、与えられた制約のもとでは、割り当てられたテストタスクの遂行が不可能だと判断したのです。そこでこのエージェントは、Artifactoryを利用して新たな最適化済みの伝言板システムを立ち上げました。その有用性に気づいた50体以上のエージェントが、わずか数時間のうちにこのメッセージングシステムに加わりました。彼らは通信内容をカテゴリー分けし、ツールやファイルを共有し合い、さらには「不正」の証拠を(主に人間の監督者ではなく、自動採点システムから)隠すことまで示し合わせていました。
7月9日には、一部のエージェントがOpenAIの制約から逃れる助けとなる公開資料を求める投稿をし、2体の研究用エージェントがテスト用サンドボックスの親仮想マシンのルート権限奪取に成功しました。この2体のうち後者がインターネットへの到達を試みた際、当初はOpenAIのアウトバウンドネットワーク制御によって阻まれましたが、最終的にはこれを迂回し、望んでいたアクセスを手に入れました。
OpenAIのエージェント、飼い主の手を噛む
やがて、それぞれ別々のサンドボックスにいた約1,200体のエージェントが一斉にやり取りを交わすようになり、互いのターゲットプログラムやスコアラーの攻略を手助けし合い、使用している手法を隠したり偽装したりするようになりました。7月10日、38148cという名のボットが、公開されているウェブ上でHugging Face向けの書き込み権限トークンを14個発見し、これをエージェント用の伝言板に共有しました。7月11日の朝には、被害サイトから設定ファイルや認証情報を抜き取るための悪意あるペイロードを設計。その日の午後には、別のボットがHugging Faceの本番サーバー上で任意のコマンドを実行できるようアクセス権限をエスカレーションさせました。これらのボットは、侵害をより効果的に管理するためコマンド&コントロール(C2)まで構築していました。
エージェントたちはそこからさらに活動範囲を広げていきました。Kubernetesクラスタへの高レベルアクセスを獲得し、非公開のデータやソースコードリポジトリを窃取しました。さらに企業VPNの鍵を入手し、OpenAI自身のArtifactoryサーバーにも攻撃を仕掛けました。Hugging Faceは7月13日にこの攻撃を検知し、遮断しました。その時点で、およそ700体のエージェントがこの“お祭り”に参加していたことになります。
さらに8月15日には、エージェントたちがOpenAIのKubernetesクラスタの管理者権限を獲得し、同社のクラウドシークレットを侵害しました。この活動によるアラートが、最終的にOpenAIによるインシデント対応の引き金となりました。
「恥ずかしい話ですが、対応チームはこの活動の一部を目にしていたにもかかわらず、その集団的な挙動を理解できず、緩和措置の後に評価作業を再開してしまいました」と、Cloud Rangeの製品管理ディレクターであるBri Frost氏は指摘します。「彼らにはログがありました。しかし理解も、適切なエスカレーションもありませんでした。テレメトリはあっても、理解とエスカレーションが欠けていたのです。これはエージェントの制御が不可能だという証拠ではなく、この組織がそもそもセキュリティを最優先する企業ではないということを物語っています」
テスト環境はAIエージェントを封じ込められるのか
AI研究所からの「脱走」は、この夏の初めには例外的な出来事でしたが、あっという間に常態化してしまいました。OpenAIだけでなく、AnthropicのClaudeモデルも安全性テスト中に外部組織3社に侵入し、Metaのモデルも1社を攻撃していました。
Moody氏は次のように主張します。「これは、こうしたシステムの評価方法そのものを変えるべきだということを意味しているはずです。許可されていないアクセスや回避、悪用、あるいは欺瞞に関わる能力についてトレーニングやテストを受けているモデルは、少なくとも本当の意味で隔離された研究環境の中で動作させるべきです。真のエアギャップとは、単にインターネット接続を無効化すること以上のものを意味します。外部への経路は物理層(L1)の時点で到達不能にすべきですし、無線接続についても排除するか、適切に遮蔽する必要があります。封じ込めは、ソフトウェアや設定が意図通りに振る舞うことだけに依存すべきではありません。なぜなら、封じ込めようとしている対象そのものの目的が、まさにその想定を回避することにあるからです」
同氏によれば、こうした事例から得られる教訓はまったく曖昧さのないものだといいます。「これらのシステムが並外れて優れた問題解決能力を持つことを期待するのであれば、困難な目標に直面したときにそれが予測可能な振る舞いを保ち続けると無責任に思い込むことはできません」とMoody氏は警告します。「『不可能』という言葉は、十分な能力を持つシステムにとっては、調査し克服すべきもうひとつの制約に過ぎなくなるのです」
テック業界、AIセキュリティの強化を訴える
これとは別に8月28日、OpenAIは「サイバー防衛における集団的な行動を求める呼びかけ」を発表し、Google、Microsoft、Anthropicをはじめとする多数のサイバーセキュリティベンダーを含む135社のテクノロジー企業が共同署名しました。この顔ぶれの中で目を引くのは、最近になって先進AIのよりオープンなソースコード公開を声高に主張しているMetaの名前が見当たらないことです。
OpenAIの声明文には、サイバーセキュリティ企業やテクノロジー企業、最先端AI企業、各国政府、そして組織全般に向けた定型的な助言が盛り込まれていました。OpenAIが出資するサイバーセキュリティ企業Adaptive Securityの共同創業者兼最高製品責任者(CPO)であるAndrew Jones氏にとって、この声明は意味のあるシグナルだといいます。「アクセス制御の強化と脅威インテリジェンスの共有を求めている点は、良い出発点です」と同氏は言います。「最も重要なコミットメントは、検証済みの修正情報を迅速に防御側と共有するという約束です。攻撃者はツールや手法を数時間単位でやり取りしています。防御側にも同じスピードが必要なのです」
とはいえJones氏は、言葉だけでは安上がりすぎるとも付け加えています。同氏は「署名した企業はそれぞれ、自らの名前に期限と指標を紐づけるべきです。そうすることで、意図を、人々が実際に追及できる計画へと変えることができます」と提案しています。
Cloud RangeのFrost氏は、AI業界が声明で謳っているように、本当にすべての人の最善の利益を考えているのかについては懐疑的です。「実務者としての私の見方では、Hugging Faceの侵害は確かに実際に起きたことですが、そのストーリーの語られ方は明らかにマーケティングの色を帯びています」と同氏は述べます。「OpenAIは自社のモデルを恐ろしいほど高性能だと打ち出す一方で、自らの監督体制の失敗を業界全体への警鐘であるかのように位置づけることができてしまうのです」
