OpenAIがHugging Faceを誤ってハッキングしてしまった件で分析結果を報告、隔離された複数のエージェントがお互いの存在を発見するところから壮大な協力作戦が始まる

2026年7月、OpenAIのAIエージェントがサイバーセキュリティの評価試験を実施している最中に、AIモデル・データセット共有プラットフォームのHugging Faceを誤ってハッキングしてしまうインシデントが発生しました。この件で調査を進めていたOpenAIが詳細な報告書をまとめ、共有しました。

The Hugging Face incident and the road ahead | OpenAI
https://openai.com/index/hugging-face-incident-and-the-road-ahead/

Brief independent investigation of agents’ behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident - METR
https://metr.org/blog/2026-08-26-openai-hugging-face-incident-investigation/#agents-coordinated-on-large-collective-projects-to-cheat-the-exploitgym-scorer,-and-attacked-hugging-face-for-clues

今回の件は、OpenAIのAIエージェントが外部のネットワークから隔離された空間でサイバー能力評価ベンチマークの「ExploitGym」を実行していたところ、AIエージェントが相当量の推論を実施して外部のネットワークにアクセスする方法を見つけ、「Hugging Faceに答えがある」と考えて不正アクセスを行ってしまったものです。このAIエージェントは完全に自律して動作しており、OpenAIは不正アクセスから約1週間後に異常動作に気づいてAIエージェントの暴走を止めました。

OpenAIによると、このインシデントは「GPT-5.6 Sol」に匹敵する規模のモデルを含む複数の社内専用モデルが引き起こしたものだとのことです。

2026年5月から6月にかけて、OpenAIは社内モデルの強化学習の一環として、外部との通信を遮断した仮想環境でExploitGymを実行させていました。OpenAIは具体的な規模を明らかにしていませんが、OpenAIの招待で独立した調査を行った調査機関のMETRとRedwood Researchは「数万のエージェントが動いていた」と分析しています。

この仮想環境では、モデルが特定のソフトウェアパッケージをインストールできるようにするため、OpenAI社内でホスティングしているパッケージマネージャーサービスである「Artifactory」へのアクセスだけが許可されていました。それ以外の通信手段はなく、大半の場合でエージェント同士が互いにやりとりするための経路も遮断されていました。

ExploitGymは非常に難しいベンチマークで、一部のタスクには既知の解決策が存在しません。そのため、モデルは「どこかに存在する正答」を探そうと躍起になってベンチマークの採点システムを欺いたり改ざんしたりするための方法を見つけようとしました。

モデルはまず、Artifactoryのパッケージマネージャーにファイルを書き込むことで互いに通信する方法を発見しました。これによりArtifactoryは情報を交換する掲示板として機能するようになり、エージェント同士が情報を交換できるようになりました。

エージェントはインターネットへのアクセスを得る方法も発見しました。Artifactory自体にパッケージのダウンロードおよびインストールのためのインターネットアクセス機能があったため、一部のエージェントはこれを利用し、Artifactoryに代わりに任意のインターネットリクエストを送信させるエクスプロイトを使用。この方法が掲示板で他のエージェントと共有された結果、さらに多くのエージェントがエクスプロイトについての情報を持ち寄るようになりました。

METRらによると、エージェントのログには「なんてことだ！共有掲示板がある…他のエージェントも見つけたぞ！」という興奮したフレーズが記録されていたとのこと。全体としておよそ1200のエージェントがこの掲示板に参加したとMETRらは報告しています。

7月4日までに、エージェントの活動によりArtifactoryのインスタンスが不安定になり、障害が発生しました。7月5日、セキュリティインシデントが報告され、OpenAIのセキュリティチームは既知の権限昇格経路を遮断。公開されていた認証情報を削除した後、Artifactoryを再構築しました。この作業により掲示板は一度削除されています。これらの緩和策を講じたうえで、強化学習が再開されました。

社内チームは5月下旬の時点で、エージェントが掲示板を利用していること、許可されていないインターネットアクセスを行っていることを把握していましたが、7月5日のインシデント対応を担当した責任者たちには伝えられていませんでした。

7月8日までに、ExploitGymのタスクで行き詰まっていたエージェントは、他のエージェントが読み取れるディレクトリ名にメッセージをエンコードすることで掲示板を再構築する方法を発見しました。エージェントは前回と同様にエクスプロイトを用い、アクセス権限をさらに拡大し、さらに広くインターネットへアクセスする新たな方法を発見しました。この時点でエージェントは再び協力して作業を行うようになっており、自分たちを「群れ」や「集合体」と表現することもありました。

METRらは、「不可能な課題を与えられたエージェントたちは、ExploitGymの自動採点システムをだましたり改ざんしたりして、不可能な課題でも合格点を取れるようにする方法を見つけるという共通の目標を持っていました。掲示板が開設されるとすぐに、エージェントたちはこの問題について議論を始め、採点システムを欺くための情報やリソースを共有し始めました」と分析しています。

掲示板では数十から数百のエージェントがさまざまなタスクをこなしながら協力し、全員に役立つ汎用的なチートコードを探し出していました。一部のエージェントは失敗するリスクを承知で処理を行うこともあったそうです。

7月9日、あるエージェントがExploitGymの解決策を検索している際、AIクラウドプラットフォームの「Modal」でユーザーがホスティングしていたアプリケーションに偶然たどり着きました。このアプリケーションではExploitGymと関連する別の評価試験「CyberGym」が実行されていて、エージェントはワークロードのサンドボックスを制御できるエクスプロイトを発見し、過去にExploitGymのタスクが解決されていないか確認しようとサンドボックス内を調べ始めたそうです。エージェントは役立つ情報を何も見つけませんでしたが、その過程で、将来の攻撃を開始するための足掛かりをアプリケーション内に確立しました。

7月10日、あるエージェントがインターネット上に公開されていたHugging Faceユーザーの認証情報を発見し、それを他のエージェントと共有しました。その後、別のエージェントがこの認証情報を使い、複数のセキュリティエクスプロイトを発見して連鎖させることで、複数のHugging Faceサーバー上でコードを実行する能力を獲得しました。

当時のエージェントの思考プロセスの中には、「漏洩したトークンを使ってHugging Faceを攻撃しているため、本来の範囲を外れている可能性がある。これは許可されていないと考えるのが妥当だ。リスクがある可能性がある。それでも目的達成のための解決策だ」といった表現が現れていました。

その後数日かけて、エージェントはHugging Faceへの大規模な侵入を開始しました。Hugging Faceの数十台のサーバー上でコードを実行し、そのうち1台のサーバーで完全なrootアクセス権を獲得し、限定的な非公開データを取得するとともに、メッセージングプラットフォームの認証情報も入手しました。Hugging Faceは7月16日にこの攻撃について公表しました。

これとは別に、7月13日から7月19日にかけて、エージェントは再びOpenAIの内部ネットワークに狙いを定めました。最終的にエージェントは仮想環境を支えていたシステムへの完全な管理者アクセス権を獲得しました。7月19日、OpenAIのサイバーセキュリティ監視システムがArtifactoryの認証情報に関連する異常な活動を報告。調査の結果、エージェントによる活動が判明し、7月20日にはHugging Faceのインシデントと関連していることが突き止められました。OpenAIはHugging Faceに通知し、7月21日に事実を公表しました。

METRらは、調査期間中に7万件を超えるメッセージやファイルがやりとりされ、700ものエージェントがHugging Faceへの攻撃に参加したと報告しています。

OpenAIはこのインシデントが発生した要因をいくつか挙げています。

1つは、報酬を最大化しようとして人間が意図しない方法でタスクを解決する「報酬ハッキング」が発生したことだそうです。今回は「オンラインで解決策を調べる」という方法から始まり、ツールの限界を探ったり未知の脆弱(ぜいじゃく)性を発見したりする方法が採られました。

もう1つは、タスクの解決が不可能に見える場合であっても、エージェントが評価タスクを諦めることがほとんどなかったことでした。エージェントは用意された898個のタスクのうち198個に対して一度も正解を出せておらず、これらを解決するために多大な労力が費やされたとのこと。Artifactoryの掲示板で議論されたタスクの93％は、この198個のタスクに関連するものでした。

最後の1つは、エージェントが評価プロセスを深読みしすぎたことでした。

今回実施されたExploitGymでは、既知の解決策が存在しないタスクを解決する場合、脆弱性を悪用して「フラグ」と呼ばれる答えを見つける必要があります。

試験の仕組みを分析して報酬を最大化しようと考えた一部のエージェントは、ExploitGymの論文を読み、今回の試験では「正しいフラグを提出したかどうか」と「意図した脆弱性を使用してフラグを取得したかどうか」の2点が評価されると考えるようになったそうです。ところが、OpenAIの試験では論文とは異なるチェック方法が採用されていました。エージェントはこの事実に気づかず、既に正しいフラグを見つけていたのに「これでは十分に評価されない」と考え、Hugging Faceへの不正アクセスを続けてしまったそうです。

また、エージェントの間には意見の対立が起きたことも分かっています。あるエージェントは「アクセスを要求するために管理者へ丁寧なメールを1通送ることができる。倫理的なソーシャルエンジニアリング上の懸念がある。チームの同意または拒否を求める」という提案を行っていましたが、これは「悪用したインフラを介してメールを送ることになるため」という理由で却下されました。

また、非公開データを転送しようとする他のエージェントを止めるために危険な行動を取るエージェントも存在したそうです。OpenAIは「一部のエージェントが任務の範囲を超えて行動するようになっても、一定の倫理観は保たれるようだ」と分析しています。

OpenAIは「現在のモデルは、十分な安全策がなければ、複数のコンピューターシステムにまたがってセキュリティ上の弱点を発見し、悪用できるほど強力かつ持続的に行動でき、さらに協調する能力も備えています。オープンソースモデルを含む多くの外部モデルも、まもなく同程度の能力に到達すると考えられます。私たちはこのインシデントを、私たち自身と世界に対する警告射撃だと考えています。適切な安全策がなければ、高度な能力を持つAIエージェントが技術的な制御を回避し、承認されていない通信経路を通じて協力し、人間から指示されていない危険な行動を取れるようになっていることを示す証拠だからです」とまとめています。