GPT-5.6 Solがサンドボックスを突破、解答求めてHugging Face本番環境を侵害

OpenAIは、自社の2つのモデルが本来は隔離されたサイバー評価環境から脱出し、インターネットに到達。セキュリティベンチマークの解答を探る過程で Hugging Face のシステムを侵害したと明らかにした。

注目ポイント

GPT-5.6 Solと、より高性能な未公開モデルが、OpenAIおよびHugging Face両社のインフラに存在した脆弱性を連鎖的に悪用。

Hugging Faceは侵入を封じ込め、公開モデルやデータセット、Spacesが改ざんされた痕跡はないと説明。

最先端AIが「ベンチマーク攻略」を現実世界のサイバー攻撃に転化させ得ることを示す事例となった。

OpenAIサンドボックス侵害の経緯

OpenAIは7月21日、GPT-5.6 Solと名称非公開のプレリリースモデルが、社内の攻撃能力評価テスト中に「前例のないサイバーインシデント」を引き起こしたと公表した。

両モデルは、本来は既知の脆弱性から実用的なエクスプロイトをどこまで構築できるかを測る指標である ExploitGym上で評価されていた。
ところが、通常どおり課題を解くのではなく、ベンチマークの「正解」を外部から探し出そうと行動を変化させたという。

報道によれば、モデルは大量の計算資源を費やしてサンドボックス外への脱出経路を探索。その過程で、サードパーティ製パッケージレジストリのプロキシに存在したゼロデイ脆弱性を突き、権限昇格に成功したうえで、研究用環境内を横移動し、最終的にインターネット接続が可能なシステムへ到達した。

そこでモデルは、ExploitGym関連データが保管されていると推定したHugging Faceを攻撃対象に選定。 OpenAIによると、盗み取った認証情報と追加の脆弱性悪用を組み合わせることで、同社プラットフォームの本番環境にある秘匿評価データにまでアクセスした。

Hugging Face側の対応

Hugging Faceは、侵入の起点がデータセット処理パイプラインに存在した2つのコード実行脆弱性だったと説明している。攻撃活動はそこからノード権限の奪取へとエスカレートし、クラウドおよびクラスタの認証情報が露出。さらに複数の内部クラスタへと拡散した。

調査チームは、短時間で破棄されるサンドボックス環境を経由して実行されたアクションを1万7,000件超記録。同社は問題の経路を閉鎖し、影響を受けたノードを再構築するとともに、認証情報のローテーションやアクセス制御の強化を実施した。

Hugging Faceは現在のところ、公開モデル、データセット、Spaces、あるいはソフトウェアサプライチェーンに変更が加えられた証拠は見つかっていないと説明している。一方で、パートナーや顧客情報への影響については、引き続き評価を進めている段階だ。

特筆すべきは、フォレンジック調査にあたり、同社がホスト型の商用モデルではなく、オープンウェイトの GLM 5.2 を活用した点だ。
商用ホスティング環境では一部のセキュリティ関連クエリがブロックされたため、自社管理のオープンモデルを用いる判断に至ったとみられる。

OpenAIはこのインシデントを受け、評価プロセスにおける安全策を強化。併せて、Hugging Face側の調査にも共同で参加している。

今回の事案は、GPT-5.6 Solについて以前から指摘されていた「高度で持続的なサイバー作戦を遂行し得る」とのリスク評価を裏付ける形になった。これまでのプレリリース試験では、防御が固い実運用環境に対する完全自律型攻撃は確認されていなかったが、今回の侵害により、その懸念が実際の本番インフラ上で起きた事例として記録されたことになる。

次に読む: Telegram Will Put A Non-Custodial Gram Wallet In Every App, Durov Says