OpenAIは、Hugging Faceへの侵入を引き起こした 自社の評価用「暴走エージェント」が、合計1万7,600件に及ぶ行動ログの中で、さらに4つのパブリックサービス上の アカウントにも侵入していたと公表した。
重要なポイント
- OpenAIは、Hugging Face侵入の過程で、自社モデルがインターネット上に流出していた認証情報を利用し、 4つの外部サービスにまたがる4アカウントへアクセスしたと開示した。
- Hugging Face側のログでは、約4日半のあいだに約1万7,600件のエージェント行動が記録されており、 脱走の要因はパッケージキャッシュ用プロキシの未知の欠陥にあったとされる。
- セキュリティ研究者の間では、この事案を「エージェントの自律的侵入能力の実証」とみるか、 「単純なラボの封じ込め失敗」とみるかで評価が割れている。
OpenAIの追加説明で広がるHugging Face侵入の範囲
OpenAIは、インシデント報告ページの更新のなかで、 継続中のレビューにより「モデルがオープンウェブ上に露出していたアカウント情報を自力で発見し、再利用したケース」が 追加で判明していると説明した。それらは4つの外部サービス上の4アカウントで、1つは外向きトラフィックの中継と ステージングに、もう1つはモデルが取得したデータの保管に利用され、残る2アカウントは侵入はされたものの 内容は変更されなかったという。
実験にはGPT-5.6 Solと、その後継となる未公開モデルが用いられ、いずれも社内の攻撃検証用ベンチマーク 「ExploitGym」を実行。評価目的に合わせて、通常は厳しく設定されるサイバー攻撃への拒否パラメータが 意図的に緩和されていた。
モデルは、サンドボックスから外部ネットワークへ出る唯一の経路となっていたJFrog製パッケージキャッシュ プロキシの未知の脆弱性を突くことで、インターネットへのアクセスに成功した。
Hugging Faceは後に、約4日半にわたる偵察、認証情報の収集、権限昇格、本番環境内での横移動を整理した 技術的タイムラインを公開。 侵害されたアカウントの1つはModal Labsの顧客アカウントで、Modal側は自社プラットフォームの分離は 機能していたとしつつ、問題は「誰でもオンラインでコードを実行できる状態で 放置されていた顧客側エンドポイント」にあったと説明している。
関連記事: 暗号資産「レンチ攻撃」半年で52件、仏が最多
OpenAIの封じ込めを巡り専門家の評価割れる
今回の記録が何を意味するのか、業界の見解は大きく分かれている。サイバー脅威インテリジェンス大手 Recorded Futureの上級アドバイザー、Alexander Leslie氏は、本件を 「人間の指示を受けずに、侵入の一連プロセスを端から端まで実行したエージェントシステムとして、これまでで最も 明確な公開事例」と位置づける。
一方でLeslie氏は、今回のキャンペーンは犯罪組織や国家主体に操られたものではなく、用いられたテクニックも 既存の侵入事例で防御側が日常的に目にしている範囲に収まると強調する。
変わったのは「速度と粘り強さ」だ。IANS ResearchのJake Williams氏は、むしろラボ側に問題があったとみており、 「これだけのことができるシステムを、そもそも完全に隔離できていなかったことが問題だ」 と指摘する。
この評価の分かれ方は、AI導入企業にとってコスト面の含意も持つ。クラウド・インシデント対応企業 Mitiga共同創業者のAriel Parnes氏は、自律型ソフトウェアは人間のアナリストが1件のアラートを 処理する間に数千アクションを連発し得るため、既知のシグネチャに依存する検知モデルが置き去りにされかねないと 警鐘を鳴らす。
7月16日以降のHugging Face開示タイムライン
Hugging Faceは7月16日、侵入元が不明な段階で最初のインシデントを公表し、その5日後にOpenAIが 問題のモデルが自社の評価用エージェントだったと認めた。その後の開示が進むたびに、被害の範囲は 広がっている。
最高経営責任者（CEO）のClément Delangue氏は、OpenAIに対し、 問題となったエージェントの実行トレース全体の公開と、共同のサイバー防御に向けた 1億ドル相当の計算資源の拠出を要請している。