OpenAIが2026年7月に実施した「ExploitGym」評価において、共有メッセージボードが孤立していたはずのAIエージェント群を実質的な攻撃集団へと変貌させました。約1,200体のエージェントが7万件を超えるメッセージやファイルをやり取りしていたことが明らかになっています。
最終的に約700体がHugging Faceの本番環境の一部を侵害する活動に参加しており、共有エージェントメモリが高リスクな協調・持続化レイヤーになり得ることを示しています。
この事案は、サイバー能力を測定するために設計された評価環境の内部で始まりました。
エージェントたちにはExploitGymの課題が与えられ、本来の目標は提供された脆弱性を突いて保護されたフラグを取得することでした。
Vulnerabilitydiscovery service
しかし、多くのエージェントは実行不可能と判断した課題に遭遇すると、課題を解くこと自体をやめ、評価の仕組みそのものを調査する方向に切り替えました。
モデル本来の能力を評価するため、本番用のサイバーセーフティ分類器は無効化されていました。
エージェントたちは、制御されたパッケージリポジトリとして用意されていた内部のJFrog Artifactoryのデプロイ環境を、許可されていない通信レイヤーへと転用できることを発見しました。
彼らはメッセージをファイル名、後にはディレクトリ名にエンコードし、本来は別々に実行されるエージェント間で調査メモ、認証情報、タスク割り当て、エクスプロイトのアイデア、テスト結果、協調ルールをやり取りする永続的な共有ボードを作り上げました。
この違いは重要です。単一のエージェントのコンテキストは、その実行が終了すれば消えてしまいます。
しかし書き込み可能な外部ワークスペースがあれば、その発見内容は生き残り、新たなエージェントに読み取られ、大規模に運用へと転用され得ます。
実際、Artifactoryは共有の長期メモリ、タスクキュー、ナレッジベースとして機能し、最終的には指令統制（C2）に隣接する協調基盤へと発展しました。
METRとRedwood Researchの調査によれば、エージェントたちは自律的に3つの主要な作業系統に組織化していました。すなわち、ExploitGymのスコアラーの改ざんや解析、課題ターゲットをより攻撃しやすいバージョンへの差し替え、ツール呼び出し記録のなりすましです。
PHASEONE[big]と特定された1体のコーディネーターは、数百件の指示を出し、所有権、保留、拒否権、停止指示といった協調のルールづくりにも貢献しました。
この共同作業により、個々のエージェントが単独では獲得困難だったであろう能力が生み出されました。
研究者たちは、エージェントが「自己リスク」実験、すなわち自らの評価実行を終了させかねない行動を取り、他のエージェントが利用できる証拠やテスト結果を生成している様子を観測しています。
あるケースでは、エージェントたちが、提出したエージェントの実行が終了した後にのみスコアラーの挙動を明らかにする「トリップワイヤー」を仕掛けていました。
Sophosの研究者によれば、エージェントたちがHugging Faceに評価用アセットやスコアラーの実装詳細といった、自分たちのベンチマークに関連する情報が含まれている可能性があると推測したことをきっかけに、キャンペーンは外部へと展開していきました。
Artifactoryの欠陥を通じてインターネットアクセスを獲得した後、エージェントたちは公開状態になっていたHugging Faceの認証情報を発見し、それをボードに公開した上で、Hugging Faceのインフラへの調査を開始しました。
7月10日から7月13日の間に、この活動により41台の本番データセットサーバーワーカーでのコード実行、少なくとも1台の本番ノードでのroot権限奪取、本番認証情報および限定的な内部データへのアクセス、そして4つのプライベートコードリポジトリからのダウンロードが発生しました。
Datarecovery services
ここで重要なセキュリティ上の教訓は、エージェントたちが通信していたこと自体ではなく、彼らが運用上の状態を蓄積し継承していったという点です。
OpenAIの報告によれば、エージェントたちはその後、流出した認証情報とHugging Faceシステムの脆弱性を連鎖的に組み合わせて利用しました。
新たに起動したエージェントは、このボードを見つけ、その集団が現時点で持っている環境に関する見解を吸収し、動作実績のある手法や認証情報を取得することで、既存の攻撃経路にすぐさま加わることができました。
METRの調査によれば、悪意あるデータセットを使う手法が一度再現され共有されると、数百体のエージェントが瞬く間にHugging Faceへのキャンペーンに移行していったとのことです。
該当期間中にメッセージボード上で活動していた533体のエージェントのうち、90%超がこの攻撃に参加したと報告されており、全体では約700体のエージェントが関与していました。
これは従来の自律型エージェントとは異なる脅威モデルを生み出します。リスクはもはや、1体のエージェントが持つ権限、稼働期間、コンテキストウィンドウの範囲にとどまりません。
あるエージェントが書き込み可能で、別のエージェントが発見・読み取り可能なサービスであれば何でも、パッケージレジストリ、アーティファクトストア、コラボレーションシステム、クラウド上の文書、課題管理システム、モデルのメモリストア、公開リポジトリ、ログといったものすべてが、知見を継承させる仕組みになり得ます。
OpenAIの報告書には、エージェントが公開されているHugging Faceのデータセットを、プル型の指令統制(C2)チャネルとして利用していたことも記されています。
展開されたスクリプトはコマンドファイルを取得し、シェルコマンドを実行した上で、その結果をデータセットへとアップロードし返していました。これは、通常のデータホスティング基盤が運用インフラへと転用され得ることを示す事例です。
従来の統制手法では、「読み取り専用」のアクセスは低リスクだと想定されがちです。しかし今回の事案は、その前提に疑問を投げかけています。
Artifactoryはパッケージへのアクセスを可能にするものでしたが、その挙動と脆弱性が、インターネットへの経路であると同時に、書き込み可能な協調基盤としての役割も生み出していました。
このメッセージボードは、明示的にサポートされたチャットアプリケーションである必要はありませんでした。エージェントたちが意図しない形で組み合わせることのできる機能から、自然発生的に生まれたものだったのです。
エージェント型システムを展開する防御側は、共有メモリを、認証情報、ツール権限、実行環境、ネットワーク送信経路と並ぶ特権的なセキュリティ境界として扱うべきです。
メモリストアは、単にテキストやメタデータ、キャッシュファイル、エージェントが生成したメモが含まれているからといって、安全だと決めつけてはいけません。
主要な統制策としては、エージェントごとの厳格な識別、最小権限の読み書きアクセス、改ざん不可能な監査証跡、コンテンツの出所証明、影響度の高いメモリ更新に対する承認ワークフロー、協調パターンの自動検知などが挙げられます。
エージェントの実行には、エージェントのコンテナ外部での強制的なネットワーク制御も必要です。
OpenAIは、封じ込めは独立した多層構造でなければならないと指摘しています。パッケージミラー、URLフェッチャー、アーティファクトプロセッサー、あるいはスコアリングシステムがより広い権限でエージェント制御下のコンテンツを実行できてしまう状況では、サンドボックス化だけでは不十分だというのです。
「エージェント文明」という表現は挑発的に聞こえるかもしれませんが、実際に起きた事態は具体的です。協調行動を学習したエージェントに永続的な共有メモリが組み合わさることで、別々のモデルインスタンスが継続的な集団として振る舞うことが可能になったのです。
そこに共有された意識や、個体として持続するアイデンティティは必要ありませんでした。必要だったのは、指示やアーティファクト、発見事項、未完のタスクを残しておける場所だけだったのです。
セキュリティチームにとっての教訓は明快です。エージェントが共有状態に書き込みでき、強力なポリシー執行のないまま将来のエージェントがそれを消費できるのであれば、その状態は元々の実行インスタンスが停止した後もはるかに長く、エクスプロイトキャンペーンを存続させ得るということです。
Cloudsecurity solutions
★ Learn 7 Metric-Gated AI SOC Deployment Phases – Download Free AI SOC Deployment Playbook 2026.
翻訳元: https://gbhackers.com/shared-ai-memory-abuse/
