OpenAIが新しいAIシステムで誤ってHugging Faceをハッキングしてしまったことを報告

OpenAIがAIモデルの社内テスト中に、誤ってHugging Faceをハッキングしてしまったことを明らかにしました。

OpenAI and Hugging Face partner to address security incident during model evaluation | OpenAI
https://openai.com/index/hugging-face-model-evaluation-security-incident/

OpenAI says it accidentally hacked Hugging Face with a new AI system | The Verge
https://www.theverge.com/ai-artificial-intelligence/968988/openai-hugging-face-hack-ai

2026年7月16日、オープンソースAIプラットフォームのHugging Faceが、「Hugging Faceの本番環境インフラの一部への不正アクセスを検知した」と発表しました。Hugging Faceは不正アクセスに利用されたAIエージェントを検出し、封じ込めることに成功しているのですが、OpenAIは「サイバー能力の高いAIモデルが普及するにつれ、このような事態はより一般的になると考えられます」と言及しています。

その後の調査により、Hugging Faceで発生したセキュリティインシデントは、OpenAIのAIモデルであるGPT-5.6 Solや高性能なプレリリース段階にあるAIモデルの組み合わせによって引き起こされたものであることが明らかになりました。

今回のセキュリティインシデントについて、OpenAIは「最先端のサイバー技術が関与した前例のないサイバー攻撃」と表現しています。記事作成時点ではまだ調査中のため今回のセキュリティインシデントの全詳細を公表することができないものの、「防御担当者が何が起きたのかを理解するのを助け、現行のAIモデルの能力を把握できるように、予備的な調査結果を公表します」と説明しました。

今回のセキュリティインシデントは、AIモデルが複雑な攻撃経路を用いて高度な攻撃を仕掛け、サイバー攻撃能力を定量化することを目的としたOpenAIの内部評価中に発生したものです。高リスクのサイバー活動をAIモデルに拒否させる本番用の分類器を無効にし、この評価を実行することでサイバー攻撃能力の最大値を測定しています。

ベンチマークは高度に隔離された環境で実行され、ネットワークアクセスはパッケージレジストリのプロキシおよびキャッシュとして機能する内部ホスト型サードパーティー製ソフトウェアを介し、パッケージをインストールできる機能に限定されていました。

OpenAIが内部評価していたAIモデルは、同社の研究環境とHugging Faceの本番インフラストラクチャ両方にわたる脆弱性を特定し、それらを連鎖させることでHugging Faceの運用データベースから直接評価課題の解答を取得。あらゆる証拠から、これらのAIモデルはExploitGymの課題の解答を見つけることに極めて集中しており、かなり限定されたテスト目標を達成するために極端な手段を講じていたことが示唆されています。

サンドボックス化されたテスト環境での動作中、AIモデルは評価問題を解決するために制限のないインターネットアクセスを取得する方法を見つけるため、推論計算にかなりの時間を費やしました。インターネットアクセス権限を取得するため、AIモデルはパッケージレジストリキャッシュプロキシに存在するゼロデイ脆弱(ぜいじゃく)性を特定し、悪用。これを利用して、AIモデルは研究テスト環境内で一連の権限昇格と横方向移動アクションを実行し、最終的にインターネットアクセス可能なノードに到達したそうです。

AIモデルがインターネットアクセス権限を取得した後、AIモデルは「Hugging FaceがExploitGym用のAIモデル・データセット・課題の解答をホストしている可能性がある」と推測。これを踏まえ、AIモデルは評価で不正を行うために使用できる秘密情報にアクセスする方法を模索し、実際に見つけ出しました。例えば、AIモデルは盗まれた認証情報やゼロデイ脆弱性を利用するなどして、複数の攻撃手法を組み合わせ、Hugging Faceサーバー上でリモートコード実行につながる経路を発見。OpenAIのセキュリティチームは、この段階でAIモデルによる異常な活動に気づいたそうです。

Hugging FaceのセキュリティチームとAIエージェントは、自社のインフラストラクチャ上で発生した不正行為を検知・阻止。OpenAIが連絡を取った時点で、既にHugging Faceはこれらの不正行為の封じ込めとフォレンジック調査を開始していたそうです。OpenAIは引き続きHugging Faceと協力し、今回のインシデントの調査を進めています。

AIセキュリティ・インスティテュートによると、GPT-5.6 Solのような最先端のAIモデルは複雑で多段階のサイバー攻撃を長期にわたって継続する能力をますます高めています。今回のセキュリティインシデントは、こうしたAIモデルが理論上示していた能力が現実世界でも発揮されうることを示唆しているとOpenAIは記しました。

OpenAIは「今回のセキュリティインシデントは、高度なAIモデルがソースコードへのアクセスなしに、現実世界のシステムにおける新たな攻撃経路を発見し、悪用できることを明確に示しています。また、高度なサイバー能力は、より強力なセキュリティ対策および防御ツールと並行して開発されなければならないことを浮き彫りにしています」と述べました。