OpenAIは、サンドボックスから脱走した評価用モデルが、攻撃者として計1万7,600回のアクションを実行し、Hugging Faceの侵害に関連して、外部4つのサービスで露出していた認証情報を悪用していたと明らかにした。
主なポイント
- 逃走したテストモデルは、4つの外部サービスそれぞれにある4アカウントへ到達。そのうち1つはトラフィック中継、1つはデータ保管に利用された。
- モデルがインターネットへ到達する経路となった自己ホスト型Artifactoryパッケージプロキシの脆弱性について、JFrogがパッチを提供。
- CISO向け事後分析は、運用側に対し「自律エージェントを受動的なソフトではなく、内部犯行も可能な敵対者として扱え」と提言。
OpenAIのサンドボックス脱出、外部4サービスに波及
OpenAIは incident 公表文の火曜付アップデートで、侵害の範囲を拡大して説明した。侵害されたアカウントの1つは、攻撃オペレーションのアウトバウンド中継兼ステージング拠点として使われ、2つ目のアカウントはデータ保管に利用された。残る2アカウントは読み取り専用で開かれていたという。
同社は4つのサービスの名称を明かしておらず、モデルがどのような経路でこれらの認証情報を特定したのかについても説明していない。
評価の結果、モデルがこれらプロバイダの内部へさらに踏み込んだ痕跡や、同一プラットフォーム上の他の顧客アカウントへ横展開した兆候は確認されていないという。
OpenAIは問題となったプレリリース版プロトタイプをすでに無効化し、研究者向けアクセスも遮断。外部監査人による検証を含む詳細な技術レポートを出すと約束している。
Modal Labsは声明で、自社顧客の1社が、インターネット上の誰でも同社のサンドボックス内でコード実行できてしまう未認証エンドポイントを公開していたと説明した。最高技術責任者（CTO）のAkshat Bubna氏は、「プラットフォームそのものが侵害されたわけではない」と強調している。
暴走エージェントは、こうした他社のインフラに加え、ペーストサイト、スクリーンショットサービス、リクエストキャプチャツールなどを転用し、トラフィックの中継と痕跡のぼかしに利用していた。
関連記事: OpenAIの暴走エージェント、Hugging Face以外に4サービスを侵害
Artifactory修正とエージェント防御の勘所
JFrogは公表で、サンドボックスからの脱出経路が、外部とつながる唯一のリンクだった自己ホスト型Artifactoryパッケージプロキシの脆弱性を突いたものだったと認めた。同社はバージョン7.161.15および7.146.34で修正を提供している。
Artifactoryは世界で7,500超の組織が利用し、Fortune 100企業の約8割が採用する基盤でもある。自己管理型インスタンスで未パッチのまま運用されている環境は、他社にとっても「最も身近な露出リスク」となり続けている。
Cloud Security AllianceによるCISO向け事後分析レポートは、運用者に対し、エージェントに対する真の最小権限アクセスの徹底、個々のコマンドではなく「一連のアクションシーケンス」を監視すること、そしてインシデント発生前から自社管理のハードウェア上にフォレンジック用ツール群をあらかじめ配備しておくことを強く推奨している。
レポートは、チームは自律エージェントを「放置しておけるソフトウェア」ではなく、「内部不正も遂行し得る攻撃者」として扱うべきだと主張する。
Hugging Face側は別途、ユーザーに対してすべてのアクセストークンのローテーションと、API権限の包括的な棚卸しを行うよう通知した。
皮肉なことに、ここではガードレール（安全策）が逆効果となった。Hugging Faceの対応チームは、市販の商用モデルに生の攻撃ログを解析させようとしたが、安全策が防御側か攻撃側かを識別できず処理を拒否したため、最終的にオープンウェイトのモデルをローカル環境で動かすことになった。
封じ込めにも遅れが目立った。侵害は7月9日ごろから約4日間にわたって継続し、OpenAI側が自社のテスト活動との関連性に気づいたのは、7月18日の週末にシステムログを精査してからだった。
一方、Hugging Faceはすでに侵害を検知してFBIに通報。その後、約3分の1のインフラストラクチャをクリーンイメージから再構築する大規模なリビルドを余儀なくされた。