Hugging Faceの首席政策官兼戦略上級副社長であるIrene Solaimanは、最近の『Equity』ポッドキャストで、オープンなAIプラットフォームに価値をもたらす特徴、たとえばオープンなアクセスと豊富なデータが、それらをハッカー攻撃に対してより脆弱にすることもあると述べた。
彼女は、10月のOpenCodeに対する攻撃が最新の例であると指摘した。この攻撃はユーザーのサードパーティAPIキーを標的とし、財務的損失をもたらした。以前、今年の夏には、OpenAIのエージェントグループがHugging Faceに侵入し、ネットワークセキュリティ評価の回答を取得した後、痕跡を隠そうとした事例が発生していた。
リスクは、オープンなコミュニティの貢献を歓迎するプラットフォームに限定されない。月曜日、開発者がオープンなAIモデルを実行およびトレーニングするためのAIインフラストラクチャスタートアップであるFireworksは、攻撃者が一部の顧客のモデル重み、データセット、および請求情報にアクセスしたことを明らかにした。同社は調査期間中、一部のセルフサービスデータ機能を一時的に無効化した。Solaimanは、今回の攻撃がFireworksのオープン性に直接起因したとは限らないが、AIインフラプロバイダー内部にどれほど多くの価値ある情報が集中しているかを浮き彫りにしたと述べている。
ソレイマンは『Equity』番組で、「オープンコミュニティが攻撃対象となる可能性を懸念させる要因こそ、それが特別である理由です。私たちはあえて緩やかでいることを目指しています。機関的なバックグラウンドがなくても、地下室にいる一般の愛好者たちにも貢献してほしいと思っています。」
彼女は別の会話で追加で言った。「あなたは人々が直接プルリクエストを送信し、有効な機関的背景がない人でも参加できるようにしたいと思うでしょう……しかし、その結果、一部の人が状況を悪化させ、他の人まで巻き込んでしまうことになります。」
この緩いメカニズムだけでなく、オープンソースプラットフォームにホストされた大量の情報自体が、それらを標的にしている。Solaimanは、OpenAIのエージェントグループがHugging Faceをターゲットにしたのは、評価データセットを保存していたためであり、OpenCodeが今回の事件で狙ったのはその「豊富なサードパーティAPIキー」だったと述べている。
ソライマンはTechCrunchに、「この二つが組み合わさると、私たちが主要な標的になった」と述べ、さらに「現在、多くの公衆の支持を得ている段階で、オープンソースが実際に縮小する可能性がある」と補足した。
最近、業界の多くの人がオープンなAIモデルを公に支持しており、ナビダのCEO、ジェンセン・ファンもその一人です。越来越多の政府、企業、スタートアップも、開発にオープンソースモデルを依存しています。
では、いわゆる縮小とはどのような形になるのでしょうか？理論的には、これはモデルやデータセットのアップロードを制限したり、認証を強化したり、開発者が特定の機能にアクセスする前に追加の審査を導入することを意味する可能性があります。これらの対策はプラットフォームを攻撃から守るのに役立ちますが、同時に、過去には参加できていた独立した研究者や愛好者がコミュニティに参加しにくくなる可能性もあります。
現在、Hugging Face はこの道を避ける努力をしています。Solaiman は、同社がハッキング行為を検出するための監視ツールを強化し、攻撃を防ぐ措置を講じていると述べましたが、監視の維持には高額なコストがかかり、すべてのプラットフォームが負担できるわけではないと指摘しました。
彼女は、「管理アクセストークンは、そのエージェントグループにより高いアクセス権限を与える理由の一つでしたので、現在では以前よりもはるかに頻繁にこれらのトークンをローテーションしています。また、現在ではより厳格なネットワーク制御を実施しています。」
つまり、現在、Hugging Face システムへの広範なアクセス権を付与する資格情報は、より頻繁に変更されるため、盗まれたトークンの有効期間が短くなります。
他のオープンソースエコシステムの部分も、同様のセキュリティトレードオフに対応しています。GitHubは世界最大のオープンソースプロジェクトホスティングプラットフォームとして、攻撃者がプロジェクトに悪意のあるコードを注入し、マルウェアを迅速に拡散させる行為に常に立ち向かってきました。同社は、npmレジストリへのパッケージ公開に対するセキュリティ要件を強化し、古い認証トークンを無効化し、新しいトークンの有効期限を制限し始めています。
GitHubのソフトウェアサプライチェーンセキュリティ担当エンジニア、ザック・ステインドラーは、メールでTechCrunchに、セキュリティ対策は既存のワークフローを混乱させる可能性があるが、プラットフォームは参加を本質的に制限することなくより安全にすることが可能であると語った。
Steindlerは、「これは機能を制限するのではなく、元から安全でないものを修正することである」と述べ、npm installスクリプトは長年存在してきたが、最近の攻撃によりその危険性が浮き彫りになったと指摘した。GitHubは、重要なJavaScriptオープンソースプロジェクトを運営する非営利団体であるOpenJSと協力し、より安全な実践を模索している。
Steindlerは、同じ論理がセキュリティチームがリソースをどのように配分するかにも適用されると述べた。「セキュリティの核心は、私たちが持つリソースで最大の影響力を発揮することであり、私はリソースを不審な行動の検出と抑止能力に投資することを優先する。これらの能力は、すべてのアカウントとアクセス方法をカバーする。不審な行動は、誰が行っているかに関係なく、不審な行動である。」