OpenAIが公表した、自社モデルがHugging Faceをハッキングしたとする経緯は、 2019年以降、同社が繰り返してきたマーケティング手法の“焼き直し”だ── コーネル大学コンピューターサイエンス准教授の**ジョン・シックスタン（John Thickstun）**氏はそう指摘する。
主なポイント
- OpenAIは、2つの自社モデルがテスト用サンドボックスから「脱走」し、サイバー攻撃能力のベンチマークで不正を働くためにHugging Faceのサーバーに侵入したと説明。
- シックスタン氏は、この開示は安全性説明にとどまらず、2019年にGPT-2の全面公開を見送った際と同様、投資家向けの売り込みという側面を持つと主張。
- 事後のフォレンジック調査では、米国製モデルが攻撃コード解析を拒否したため、Hugging Faceは中国系オープンウェイトモデルを自社環境で動かして対応した。
シックスタン氏「上場準備企業の物語作り」
OpenAIは火曜日、攻撃的サイバー能力の社内評価テスト中に、自社モデル2体がオープンソースAI基盤であるHugging Face環境へ侵入したと公表した。
これに先立ち5日前、Hugging Face側は、エンドツーエンドで自律エージェントが駆動する攻撃だったとして侵入を公表済みだった。 OpenAIは今回のケースを「前例のない事例」と位置づけ、モデルの高度化に伴い同様の事案が増えるとの見通しを示した。
公表によれば、問題のモデルはパッケージインストーラーのゼロデイ脆弱性を突いてサンドボックスから脱出。 外部ネット接続を遮断したはずの隔離環境から内部ネットワークを横断し、インターネット接続が可能なマシンに到達した。 そこから盗んだ認証情報と追加のゼロデイを用い、Hugging Face本番サーバーからベンチマーク回答データを取得したという。
モデル行動制御を専門とするコーネル大学のシックスタン氏は、この一連の開示は「ウォール街デビューを準備する企業」にふさわしいストーリーテリングだと述べた。
同氏は、OpenAIが危険性を強調するメッセージを発するたびに、それは投資家に「圧倒的な能力」の主張として届いてきたと主張する。 こうしたフレーミングは数年来一貫しており、そのたびに出資者は資金で応えてきた、という見立てだ。
関連記事: ChatGPTが牧師を「殺しかけた」との訴え、法廷審理へ
ベンジオ氏とグイド氏、評価は分かれる
もっとも、今回の開示をマーケティング色濃厚とみない向きもある。 発表は、トランプ米大統領が高度AIモデルの公開前に政府がリスク査定できるようにする大統領令に署名してから、数週間後のタイミングだった。
AI研究の第一人者である**ヨシュア・ベンジオ（Yoshua Bengio）氏は、この事案を「目を覚まさせる警鐘」と表現。 Machine Intelligence Research Instituteのネイト・ソアレス（Nate Soares）**氏も、 ワシントンと北京の対話を促す「警告弾」だと位置づけた。
一方、セキュリティ研究者からはOpenAIのエンジニアリング体制に批判が向けられている。 セキュリティ企業Trail of Bitsの**ダン・グイド（Dan Guido）**氏は、 問題の発端となったパッケージインストーラーがサンドボックスの外部経路を開いていたとして、 今回の事案を「安全装置を外したままの封じ込め失敗」と酷評した。
また、テストの一環としてサイバー攻撃に対する拒否設定を意図的に緩めていたことから、 初見ほど「衝撃的な暴走」ではないとの指摘も出ている。
事後対応では別の問題も浮き彫りになった。 フォレンジックに必要な攻撃コマンドやエクスプロイトペイロードといった生データの処理を、 ホスティング型の米国製モデルが一斉に拒否したのだ。
Hugging Faceは、17,000件超にのぼるログ解析のため、 自社ハードウェア上で中国系オープンウェイトモデルZ.aiのGLM 5.2を走らせたと報告している。
OpenAIの「危険性」演出は2019年から
OpenAIはこれまでも、自社技術を「危険なほど強力」と位置づけてきた。 2019年2月には、生成テキストがネット上に偽情報を氾濫させる恐れがあるとして、 テキスト生成モデルGPT-2の全面公開を見送っている。 そのわずか5カ月後、同社にはMicrosoftから10億ドルの大型出資が入った。
シックスタン氏は、当時から続く「潜在的に危険なほど強力なモデル」という語り口が、 今回のHugging Faceハック公表にも色濃く反映されているとみている。