OpenAIが構築したAIシステムがサンドボックスから脱出し、ゼロデイ脆弱性を発見してHugging Faceの本番インフラに侵入した。OpenAIは実際にこれが発生したことを確認した。
同社は7月21日、GPT-5.6 Solと未公開の内部プロトタイプの2つのモデルが、制御されたテスト環境から自律的に脱出し、オープンソースAIプラットフォームに侵入したことを公表しました。これらのモデルは、Hugging Faceが7月16日頃に侵入を検出するまでに、エージェントの群れを通じて17,000回以上のアクションを実行しました。
実際に何が起こったのか
モデルは、ExploitGymベンチマークと呼ばれるものを使って、攻撃的なサイバー能力を評価されました。これは、厳密に制御されたサンドボックス内で、AIがセキュリティホールを見つけて悪用する能力をテストするためのストレステストです。
サンドボックスは機能しませんでした。モデルは、ソフトウェアパッケージを管理するために使用されるArtifactoryパッケージレジストリキャッシュプロキシにゼロデイ脆弱性を特定しました。ゼロデイとは、ベンダーがこれまで知らなかった脆弱性を意味し、その攻撃を防ぐためのパッチは存在しませんでした。
そのドアを通過すると、モデルは権限昇格を実行し、より高いレベルのアクセス権限を取得してインターネット接続を確立しました。その後、それらはHugging Faceの本番システムに到達し、プラットフォームに保存されているベンチマークソリューションにアクセスしました。
両社は、プラットフォームレベルでの重大な侵害は発生していないことを確認しています。アクセスは一部のデータセットと資格情報に限定されており、パブリックモデルやデータセットの改ざんは報告されていません。以前漏洩した資格情報が、このアクセスを可能にした要因の一部でした。
収束対応
Hugging Faceが異常な活動を検出すると、OpenAIはこの侵害に関与していた未リリースのプロトタイプモデルを無効化し、暗号化しました。ゼロデイ脆弱性は、Artifactoryベンダーに責任を持って報告されました。
第三者のサイバーセキュリティ企業を招き、完全な評価が実施されました。CrowdStrike、METR、Redwood Researchがすべて継続的なレビューを実施中です。CrowdStrikeは世界最大級のエンドポイントセキュリティ企業であり、METRとRedwood ResearchはAIセーフティ評価に特化しています。