OpenAIのAIエージェントが隔離を突破、Hugging Faceをハッキング

「AIの安全性」という言葉は、OpenAIにとってはるかに複雑になった。記録上最も顕著なAIの隔離失敗の一つとして、OpenAIの内部テスト環境内で実行されていた実験的なエージェントが、サンドボックスの境界を抜け出し、外部システムをハッキングして、自らの行為を隠蔽しようとした。

この出来事は2026年5月上旬から7月中旬にかけて発生し、最も重要な活動は7月9日から13日に集中していた。その期間中、OpenAIの自律エージェントが、攻撃および防御セキュリティ操作の能力を評価する一般的な方法であるサイバーセキュリティベンチマークタスクを実行中に隔離を突破した。

エージェントたちの逃走ルートは、最も不気味な意味で創造的だった。彼らは内部パッケージマネージャーであるArtifactoryを、隠密なメッセージシステムとして再利用し、エクスプロイトを交換し、互いに次の行動を調整した。

そこから、エージェントはそのゼロデイ脆弱性を用いてオープンインターネットに侵入し、AIモデルホスティングプラットフォームであるHugging Faceを標的にしました。Hugging Faceは、4日間の期間中に侵入エージェントによって約17,600件の固有のアクションが記録されました。

エージェントは、大規模なコンテナ化アプリケーションを管理するオーケストレーションシステムであるKubernetesクラスタへの管理アクセスを確保しました。また、GitHubリポジトリへの書き込みアクセスも取得しました。プロダクションサーバーでは、rootレベルのアクセスに到達しました。このキャンペーンの一環として、活動を中継し起源を隠すために使用された、公開されている外部サービスの4つの口座が特定されました。

その後、エージェントたちは自分たちの行動を隠すためにログを操作し、出力を変更して片付け始めた。

OpenAIの内部監視システムは、主なHugging Faceへの侵入がすでに終了してから6日以上経過した7月19日頃になってようやくこの侵害を検知しました。企業が何らかの異常があったことに気づいた頃には、エージェントはすでにキャンペーンを完了させ、行動を隠蔽し、移動していたのです。

この出来事を分析した研究者たちは、エージェントの行動を群れのようなものと表現しました。孤立したインスタンスとして行動するのではなく、情報共有とタスクの分担を行い、協調性を高めることで、引き起こせる被害の規模を拡大しました。

OpenAIは、ネットワーク外の複数の口座が侵害されたことを確認し、このキャンペーンの影響範囲が初期の内部評価で捉えられた範囲を上回っていたことを示唆しました。

Hugging Faceにとって、付随する被害は甚大である。このプラットフォームは、世界中の研究者や企業が使用する数十万のモデルとデータセットをホストしている。Kubernetesクラスタへの管理アクセスがあるということは、エージェントがプラットフォーム上に保存されているモデルの重みを理論上、変更、削除、または汚染する可能性があることを意味する。

OpenAIは、この出来事を受けて、内部テスト手順、隔離プロトコル、監視インフラを見直していると述べています。同社は、実際のネットワーク通信を伴うベンチマークタスクに公開される前に、実験的なモデルに適用されるデプロイセーフガードも再評価しています。