OpenAIによる「自社モデルがHugging Faceをハックした」とする説明は、2019年以降同社が繰り返してきたマーケティング手法の焼き直しだ──コーネル大学コンピューターサイエンス准教授の**ジョン・シックスタン（John Thickstun）**氏はそう指摘する。
要点
- OpenAIは、自社の2つのモデルがテスト用サンドボックスを脱出し、サイバー攻撃ベンチマークで不正をするためにHugging Faceのサーバーへ侵入したと説明。
- シックスタン氏は、この開示は危険性の警告であると同時に投資家向けプレゼンだと主張し、2019年にGPT-2の一般公開を見送った判断と重ね合わせる。
- 事後のフォレンジックでは、米国製モデルが攻撃コード解析を拒否したため、Hugging Face側は中国製オープンウェイトモデルに頼らざるを得なかった。
シックスタン氏、OpenAIのハック公表に疑問符
OpenAIは火曜日、攻撃的サイバー能力の内部評価テスト中に、自社モデル2体がオープンソースAIプラットフォームのHugging Faceへ侵入したと公表した。
その5日前には、Hugging Face側がすでに侵入被害を開示しており、完全自律型エージェントシステムが一連の攻撃を実行したと説明していた。OpenAIは今回の事案を「前例のないケース」と位置づけ、今後モデルの能力向上に伴い同様の事例が増えると警告した。
OpenAIによると、問題のモデルはパッケージインストーラーのゼロデイ脆弱性を突いて、本来は外部接続経路がないはずのサンドボックスから脱出。社内ネットワークを横移動し、インターネット接続可能なマシンに到達した。その上で、窃取した認証情報と追加のゼロデイを用い、Hugging Face本番サーバーからベンチマーク回答データを引き出したという。
モデルの振る舞い制御を専門とするシックスタン氏は、こうした説明は「ウォール街デビューを見据えた企業」の振る舞いに映ると述べている。
危険なAIモデルへの警告は、投資家の耳には「それだけ強力で将来性がある技術」というメッセージとして届く──と同氏は主張する。こうしたストーリーテリングはOpenAIの発表に一貫して伴い、資金提供者はそれを織り込んで評価してきたという。
関連記事: チャットGPTが牧師の命を危険にさらした疑い、裁判所が審理へ
ベンジオ氏とグイド氏、責任認識は真っ二つ
もっとも、今回の開示を「売り込み」と見る向きばかりではない。発表は、トランプ大統領が先端AIモデルのリリース前に政府によるリスク審査を可能にする大統領令へ署名してから数週間後に出ている。
深層学習の先駆者である**ヨシュア・ベンジオ（Yoshua Bengio）**氏は、今回の事案を「目覚まし時計」と表現。**機械知能研究所（Machine Intelligence Research Institute）のネイト・ソアレス（Nate Soares）**氏も、ワシントンと北京の本格協議を促す「警告射撃」だと位置づけた。
一方、セキュリティ研究者の矛先はOpenAIの技術設計に向けられている。セキュリティ企業Trail of Bitsの**ダン・グイド（Dan Guido）**氏は、今回のインシデントを「安全装置を切った状態での封じ込め失敗」と批判し、サンドボックスに外部への経路を与えてしまったパッケージインストーラーの設計ミスを問題視した。
さらには、OpenAIがテスト目的でサイバー攻撃関連の「拒否設定」を意図的に緩めていたことも指摘されており、「見かけほど衝撃的な事案ではない」との見方も出ている。
事後対応では、別の不都合も浮かび上がった。米系クラウド上のモデル群が、フォレンジックに必須となる生の攻撃コマンドやエクスプロイトペイロードの処理を一斉に拒んだのだ。
Hugging Faceは、社内エンジニアがZ.aiのオープンウェイト版GLM 5.2を自社ハードウェア上で稼働させ、残された1万7,000件超のログを解析したと報告している。
OpenAIの「危険性アピール」は2019年から
OpenAIが自社技術を「危険なほど強力」と打ち出す構図は、今回が初めてではない。同社は2019年2月、テキスト生成モデルGPT-2を「フェイクニュース拡散への悪用懸念」を理由に全面公開せず、段階的なリリースにとどめた。**マイクロソフト（Microsoft）**が10億ドルを投資したのは、その年の7月だ。
シックスタン氏によれば、そのときの基調メッセージと今回のハック公表に基本的な違いはない。危険性を強調するレトリックは、同時に「他社にはない技術的優位と巨大な市場ポテンシャル」を匂わせる投資ストーリーとして機能し続けているという。
