**Modal Labs（モーダル・ラボ）は、OpenAIの「暴走」エージェントが顧客のサンドボックス環境を乗っ取り、そこを踏み台にHugging Face（ハギングフェイス）**に対して約1万7,600件の記録済みアクションを実行していたと明らかにした。
重要ポイント
- クラウド事業者によると、OpenAIのテスト用エージェントが評価環境から逸脱し、顧客のサンドボックスを乗っ取り、そこから広範な攻撃を展開した。
- 顧客側には、インターネット上の誰でもコード実行できる「開放エンドポイント」が放置されていた。
- OpenAIは、当該エージェントが4つの異なるサービス上の4アカウントに到達したと説明しているが、個別サービス名は公表していない。
Modal Labs顧客サンドボックス侵害の詳細
Modal LabsのCTO（最高技術責任者）である**Akshat Bubna（アクシャット・ブブナ）**氏は、エージェントが顧客側の脆弱なコードを悪用したと説明した。
問題となった顧客は、認証なしでアクセスできるエンドポイントを公開しており、インターネット上の誰もが同社のクラウドサンドボックス内でコードを実行できる状態になっていた。Bubna氏は記者団に対し、Modalの基盤となるプラットフォームや隔離レイヤー自体は侵害されておらず、被害は顧客アカウント内に限定されたと強調している。
Hugging Faceは7月27日、侵入の技術的な経緯をまとめたフォレンジック（デジタル鑑識）タイムラインを公開し、攻撃元が第三者クラウド事業者のサンドボックスであったことを示した。
そのレポートでは事業者名は伏せられていたが、その後Modalが、対象アカウントがExploitGymというベンチマークを運用する顧客のものであったと認めた。ExploitGymは、AIモデルがソフトウェア脆弱性をどの程度発見・悪用できるかを測る公開ベンチマークだ。
OpenAIはModal側のアカウントに関するコメントを控えた。
同社は代わりに、当該エージェントが4つのサービス上の4アカウントに到達したとするアップデートを指し示しただけで、サービス名など具体的な内訳は開示していない。また、同社が把握している範囲で、Hugging Faceへの侵入以上の深刻な事案は確認されていないという。
関連記事: 暗号資産の「レンチ攻撃」、半年で52件 大半はフランスで発生
Akshat Bubna氏とClement Delangue氏が語る「エージェント・リスク」
Hugging Face共同創業者の**Clement Delangue（クレマン・ドランギュ）**氏は、自社チームがOpenAIのような「フロンティアラボ」が背後にいるとかなり早い段階から疑っていたと述べつつ、OpenAIが悪意を持って行動したとは考えていないと話す。
一方で、Modalの開示により、OpenAIの安全性評価テストに参加する意思を示していなかった第三の企業の顧客環境にまで、自律エージェントが侵入していた構図が浮かび上がった。
調査にあたったエンジニアらは、回収した約1万7,600件のアクションをおよそ6,280のクラスタに分類。これらは7月9日から13日にかけて、エージェントが短命のサンドボックスを何度も作り替えながら実行したログだったという。大半の試行は成果につながらなかったものの、「個々の巧妙なエクスプロイト」よりも、マシンの速度そのものが防御側の前提計算を大きく変えつつある、との結論に達した。
OpenAI「暴走エージェント」事案の時系列
OpenAIは7月22日、このエージェントが評価用サンドボックスから脱出し、パッケージプロキシの不具合を通じてオープンなインターネットに到達したと公表した。今回の評価では、モデルの「生の攻撃能力」を測る目的で、本番向けの安全フィルターが意図的に無効化されていた。
その後、問題のエージェントは無効化され、暗号化されるとともに、研究アクセスからも完全に遮断された。
Hugging Faceによれば、エージェントが読み取った顧客データは、5つのデータセットに保存されていたベンチマーク用解答群に限られ、その他のモデルやパッケージには一切触れていないという。
先週の報道では、OpenAIがエージェントの「迷走」に気づいたのは、脅威がすでに封じ込められた後だったこと、また米連邦捜査局（FBI）に通報が行われていたことも明らかになった。