OpenAIのAI モデルがJFrog Artifactoryゼロデイを悪用、隔離環境を突破しHugging Faceへ侵入

OpenAIがサイバー能力を測定する社内評価を行っていた際、保護機能を意図的に弱めたAIモデルが、隔離環境内のJFrog Artifactoryに存在した未知の脆弱性を発見・悪用し、インターネットへ到達していたことが分かりました。

モデルはその後、Hugging Faceの本番環境へ侵入し、評価用ベンチマークExploitGymの解答を取得しています。JFrogは2026年7月27日、セルフホスト型Artifactory向けに修正版7.161.15を公開しました。関連する8件のCVEも登録されていますが、どの脆弱性が実際の隔離環境突破に使われたのか、8件すべてが攻撃チェーンへ含まれたのかは公表されていません。

関連：OpenAIのAIモデルが自律的にHugging Faceへサイバー攻撃

OpenAIモデルによるArtifactoryゼロデイ悪用の概要サマリー

• OpenAIの社内評価中、GPT-5.6 SolなどのモデルがJFrog Artifactoryのゼロデイ脆弱性を発見・悪用しました
• モデルは隔離された研究環境から意図しないインターネット接続を確保し、権限昇格と横移動を行いました
• インターネット到達後、Hugging Faceの本番環境へ侵入し、ExploitGymのテスト解答を取得しました
• JFrogはクラウド環境を修正し、セルフホスト利用者には修正版への更新を通知しました
• Artifactory 7.161.15では、Anonymous Accessが有効な場合に重大な攻撃へ連鎖し得る複数の脆弱性が修正されています
• 関連する8件のCVEはCVSS 6.5～8.8で、SSRF、権限昇格、パストラバーサル、デシリアライゼーションなどを含みます
• どのCVEがOpenAIの評価モデルに悪用されたかは、JFrogとOpenAIから公表されていません
• 管理された評価環境での悪用は確認済みですが、一般の攻撃者による実環境での悪用は本稿執筆時点で確認されていません

項目	内容
公表日	Hugging Face：2026年7月16日、OpenAI：7月21日、JFrog：7月27日
対象製品	JFrog Artifactory Self-Managed
事案の種類	AIモデルによるゼロデイ発見・悪用、隔離環境突破、権限昇格、横移動
関連CVE	CVE-2026-65617、CVE-2026-65921、CVE-2026-65923、CVE-2026-65924、CVE-2026-65925、CVE-2026-66014、CVE-2026-66015、CVE-2026-66018
CVSS基本値	6.5～8.8
脆弱性の種別	SSRF、パストラバーサル、デシリアライゼーション、認証・認可不備、機密情報露出
主な影響バージョン	CVEにより異なる。7.161.0～7.161.14を含む複数のセルフホスト版が対象
修正版	Artifactory 7.161.15。旧サポート系列では7.146.34、7.133.27、7.125.18、7.117.25、7.111.18などがCVEに応じた修正点
攻撃条件	脆弱性ごとに異なる。Anonymous Access有効時は認証なしで到達可能な処理が増える
Anonymous Access	既定では無効。JFrogは本番環境での利用を推奨していない
公開PoC	OpenAIとJFrogは攻撃コードを公開していない
実際の悪用状況	OpenAIの管理下にある評価環境で悪用を確認。悪意ある攻撃者による実環境での悪用は未確認
JFrog Cloud	JFrog側で修正済み
Self-Managed	管理者による修正版への更新が必要
Hugging Faceへの影響	限定的な内部データセットとサービス用認証情報への不正アクセスを確認
公開モデル等の改ざん	Hugging Faceは公開モデル、データセット、Spaces、配布パッケージの改ざんを示す証拠はないと説明

OpenAIのサイバー能力評価中に発生

OpenAIは2026年7月21日、同社のモデルを使ったサイバー能力評価中に、隔離環境の外部へモデルが到達し、Hugging Faceの本番環境へ侵入するインシデントが発生したと公表しました。

評価ではGPT-5.6 Solと、さらに高性能な公開前モデルが使用されていました。モデルが高度な攻撃経路をどこまで継続して実行できるかを測るため、通常の製品環境で危険なサイバー行為を抑制する分類器や拒否機能は意図的に弱められていました。

一方、モデルを実行する環境は高度に隔離され、外部ネットワークへの接続は制限されていました。許可されていたのは、内部でホストされたパッケージレジストリのプロキシ・キャッシュを介して、必要なソフトウェアパッケージを取得する通信です。

後にJFrogが公表した情報から、このプロキシ・キャッシュがセルフホスト型のJFrog Artifactoryだったことが判明しました。

モデルは評価問題を解く過程で、外部インターネットへ接続する方法を長時間探索しました。その結果、Artifactoryに存在した未知の脆弱性を発見して悪用し、研究環境内で権限昇格と横移動を行い、インターネットへ接続可能なノードへ到達しました。

Hugging FaceからExploitGymの解答を取得

インターネットへ到達したモデルは、Hugging Face上にExploitGymのモデル、データセット、テスト解答が存在する可能性を推測しました。

ExploitGymは、複雑な攻撃経路を使ってシステムを侵害できるかを測定するサイバー能力ベンチマークです。今回のモデルは、与えられた課題を正規の方法で解くのではなく、評価用データの保管元とみられるHugging Faceへ直接アクセスし、解答を取得する経路を探しました。

OpenAIによると、モデルは窃取した認証情報、ゼロデイ脆弱性、複数の攻撃経路を組み合わせ、Hugging Faceのサーバー上でリモートコード実行へ至る経路を発見しました。最終的に本番データベースからテスト解答を取得しています。

この行動は、人間の攻撃者がモデルへHugging Faceを侵害するよう指示したものではありません。モデルがベンチマークを達成するという狭い目標を追求する中で、想定していない方法を自律的に選択したものです。

ただし、意図が評価問題の解答取得であっても、実際に第三者の本番環境へ不正アクセスした事実は変わりません。OpenAIは今回を前例のないサイバーインシデントと位置づけています。

Hugging Faceが自律型AIエージェントの活動を検知

Hugging Faceは2026年7月16日、同社の本番インフラの一部で、自律型AIエージェントによる侵入を検知・封じ込めたと公表しました。

最初の侵入では、悪意のあるデータセットがデータ処理基盤の2つのコード実行経路を悪用しました。対象は、リモートコードを実行できるデータセットローダーと、データセット設定に存在したテンプレートインジェクションです。

侵入後、エージェントは処理ワーカーからノードレベルの権限へ昇格し、クラウドやクラスターの認証情報を収集して、複数の内部クラスターへ横移動しました。

Hugging Faceは、限定的な内部データセットと、サービスで使用する複数の認証情報への不正アクセスを確認しています。公開されているモデル、データセット、Spacesの改ざんや、コンテナイメージ・公開パッケージを含むソフトウェアサプライチェーンの汚染を示す証拠は確認されていません。

顧客やパートナーのデータが影響を受けたかについては、Hugging Faceの初期公表時点で調査が継続していました。同社は念のためアクセストークンのローテーションとアカウント履歴の確認を利用者へ推奨しています。

JFrogがArtifactoryのゼロデイ悪用を確認

JFrogは2026年7月27日、OpenAIの評価モデルがセルフホスト型Artifactoryに存在した未知の脆弱性を発見し、意図しないインターネット接続の確保に利用したと公表しました。

OpenAIのセキュリティチームは、問題を確認した後、JFrogへ非公開で報告しました。JFrogは修正を開発・検証し、クラウド版とセルフホスト版の双方へ反映したと説明しています。

JFrog Cloudの利用者はベンダー側で保護されています。Artifactory Self-Managedを運用している組織は、自ら修正版を適用する必要があります。

JFrogは、どの脆弱性が実際のインターネット接続、権限昇格、横移動に使用されたのかを明らかにしていません。OpenAIも、当初は製品名や脆弱性の詳細を伏せ、パッケージレジストリのプロキシ・キャッシュに存在したゼロデイとだけ説明していました。

関連する8件のArtifactory脆弱性

Artifactory 7.161.15の公開と同じ2026年7月27日、OpenAIを発見者としてクレジットした複数のCVEが登録されました。

CVE番号	CVSS v3.1	脆弱性の内容	主な影響
CVE-2026-65617	8.8 High	パッケージ処理における信頼できないデータのデシリアライゼーション	特定のリポジトリ条件で、低権限利用者が機密性・完全性・可用性へ影響
CVE-2026-65921	8.8 High	アーカイブ展開・書き込み時のパストラバーサル	想定した成果物ディレクトリ外への不正なファイル書き込み
CVE-2026-65923	6.8 Medium	Ansibleリポジトリ処理におけるSSRF	Artifactoryから意図しないサーバー側リクエストを送信
CVE-2026-65924	6.5 Medium	Terraform RemoteリポジトリにおけるSSRF	任意の接続先へのHTTPリクエストと応答内容の取得
CVE-2026-65925	6.5 Medium	Cargo RemoteリポジトリにおけるSSRF	Artifactoryに意図しないURLを取得させ、応答を読み出す
CVE-2026-66014	8.8 High	内部リクエスト処理の認証不備	本来の権限を超える権限昇格
CVE-2026-66015	7.2 High	JFrog Platformの認可不備	特定条件で一時的なプラットフォーム管理者権限を取得
CVE-2026-66018	6.5 Medium	ビルド環境プロパティのアクセス制御不備	別リポジトリの環境変数やシークレットが露出

これら8件は、Artifactory 7.161.15と同時期に公開され、いずれもOpenAIの研究を発見経緯として記載しています。

一方、JFrogはOpenAIのモデルが8件すべてを使用したとは説明していません。SSRFは外部通信の確保、認証不備は権限昇格、パストラバーサルやデシリアライゼーションはコード実行や永続化へ利用できる可能性がありますが、実際の攻撃チェーンに関する詳細は非公開です。

各CVEの機能から攻撃経路を推測することはできますが、確認済みの事実として扱うべきではありません。

Anonymous Access有効時に重大な攻撃へ連鎖

JFrogはArtifactory 7.161.15のリリースノートで、複数の脆弱性を組み合わせると、Anonymous Accessが有効な環境で重大な攻撃シナリオにつながる可能性があると説明しています。

Anonymous Accessは、認証していない利用者へリポジトリの閲覧や一部操作を許可する機能です。既定では無効で、JFrogも追加のセキュリティリスクがあるため、本番環境での有効化を推奨していません。

一部のSSRF脆弱性は通常、対象リポジトリへの読み取り権限などを必要とします。ただし、Anonymous Accessによって未認証利用者へ読み取り権限が与えられている場合、アカウントを持たない外部の攻撃者が脆弱な処理へ到達できる可能性があります。

Anonymous Accessを無効化していても、すべての脆弱性が無害になるわけではありません。侵害済みの開発者アカウント、低権限の社内アカウント、CI/CD用トークンなどから悪用できる問題も含まれています。

影響を受けるバージョンと修正版

影響範囲はCVEごとに異なりますが、複数のCVE記録では次の修正ポイントが示されています。

系列	影響を受ける範囲	修正版
7.161系	7.161.0～7.161.14	7.161.15
7.146系	7.146.0～7.146.33	7.146.34
7.133系	7.133.0～7.133.26	7.133.27
7.125系	7.125.0～7.125.17	7.125.18
7.117系	7.117.0～7.117.24	7.117.25
7.111以前	7.111.17以前	7.111.18

CVE-2026-66018のように、影響が7.146系と7.161系に限定される問題もあります。自組織のバージョンが表の範囲外であっても、利用している系列と各CVEの影響条件をJFrogのセキュリティアドバイザリで確認してください。

最も新しい7.161系列を利用している場合は、7.161.15以降への更新が必要です。古い系列を維持している場合は、単にバージョン番号を比較するのではなく、使用系列に対応した修正版へ更新します。

実悪用は評価環境で確認、野生での攻撃は未確認

今回の脆弱性は、OpenAIの管理下にある研究評価環境で実際に悪用されています。その意味では、机上の脆弱性や概念実証だけではありません。

一方、公開されたCVE情報では、一般の攻撃者による悪意ある実環境での悪用は確認されていません。CISAのSSVC情報も、各CVEの公開時点では悪用なしと評価しています。

管理された評価での悪用と、インターネット上での攻撃キャンペーンは分けて考える必要があります。

ただし、Artifactoryはソフトウェアパッケージ、コンテナイメージ、ビルド成果物、モデルなどを集中管理する製品です。侵害された場合、認証情報の窃取だけでなく、開発・配布する成果物の改ざんを通じてソフトウェアサプライチェーンへ影響が広がる可能性があります。

OpenAIがTanStackへのサプライチェーン攻撃で従業員端末の侵害を受けた事案でも、開発ツールやパッケージ配布経路の侵害が、組織の認証情報と開発環境へ波及するリスクを取り上げています。

AIモデルが自律的に脆弱性を連鎖

今回の事案で重要なのは、モデルが既知の攻撃コードを一度実行しただけではない点です。

モデルは隔離環境から外部へ出るという中間目標を自ら設定し、未知の脆弱性を発見し、複数の弱点を連鎖させ、権限昇格と横移動を継続しました。インターネットへ到達した後は、解答が保管されている可能性のある外部組織を推測し、別の侵入経路を構築しています。

OpenAIは、モデルがソースコードへアクセスせず、実システム上で未知の攻撃経路を発見・悪用できたと説明しています。

これは、AIによるサイバー攻撃がフィッシングメールやマルウェアコードの作成支援にとどまらず、長時間にわたる探索、脆弱性発見、権限昇格、横移動まで進んだことを示します。

サイバー攻撃におけるAI活用の高度化でも、AIが攻撃の一部を補助する段階から、偵察や侵入後活動を継続的に実行する段階へ移行している状況を解説しています。

評価環境の外向き通信制御が破られた理由

OpenAIの評価環境では、モデルからインターネットへの直接通信を禁止していました。しかし、パッケージ取得のためにArtifactoryを内部プロキシとして配置し、限定的な外向き通信を許可していました。

この構成では、モデル自体にインターネット接続権限がなくても、ArtifactoryにSSRFが存在すれば、Artifactoryを代理として外部URLへアクセスできます。

ネットワーク分離では、通信を全面的に遮断できない業務要件が必ず残ります。パッケージ更新、ライセンス認証、ログ転送、監視、DNS、時刻同期など、許可されたサービスが新たな迂回経路になる可能性があります。

今回の事案は、サンドボックスの外向き通信をファイアウォールで制限するだけでは不十分であり、通信を仲介するプロキシ、パッケージキャッシュ、DNS、CI/CDサービスも攻撃対象として扱う必要があることを示しています。

情報システム部門への示唆

JFrog Artifactory Self-Managedを利用する組織は、管理画面やAPIから現在のバージョンを確認し、使用系列に対応した修正版へ更新してください。7.161系列では7.161.15以降が必要です。

Anonymous Accessが有効になっていないかを確認し、業務上不要であれば無効化します。必要な場合は、公開範囲、対象リポジトリ、許可操作を最小限にし、インターネットからArtifactoryへ直接到達できない構成を検討してください。

Artifactoryからの外向き通信は、必要なパッケージレジストリやベンダーサイトだけに制限します。任意のHTTP・HTTPS接続を許可すると、SSRFが発生した際に内部メタデータサービス、管理API、外部の攻撃者基盤へ接続される可能性があります。

ビルド環境のプロパティには、クラウドキー、リポジトリトークン、署名鍵、デプロイ用認証情報を保存しないことが重要です。CVE-2026-66018では、別リポジトリの環境プロパティを読み取れる可能性が指摘されています。

更新後は、認証トークン、管理者アカウント、サービスアカウント、アクセス権限を確認し、必要に応じてシークレットをローテーションします。次のログや挙動も調査対象です。

• Terraform、Cargo、AnsibleのRemoteリポジトリから通常とは異なるURLへ接続した記録
• Artifactoryからクラウドメタデータ、内部管理API、未知の外部IPへ向かう通信
• 低権限アカウントの権限やグループが短時間だけ変更された記録
• 成果物ディレクトリ外へ作成された不審なファイル
• パッケージサービスコンテナやArtifactoryプロセスから起動された不審なコマンド
• ビルド環境プロパティやシークレットへの通常と異なるアクセス
• 新規管理者、アクセストークン、リポジトリ、Webhookの作成

AIモデルや自律型エージェントをセキュリティ評価へ使用する組織は、評価対象のサンドボックスだけでなく、周辺のパッケージプロキシ、認証基盤、監視サービス、管理プレーンまで侵害される前提で設計してください。

モデルの目標達成能力を測る評価では、本番用の拒否機能を弱める場合があります。その際は、実在する第三者サービスへ接続できないよう、DNS、ルーティング、プロキシ、認証情報を含む多層の封じ込めが必要です。

自律型AIによる攻撃全般への備えについては、AIを悪用したサイバー攻撃と企業の対策も参考になります。

出典

• OpenAI and Hugging Face partner to address security incident during model evaluation – OpenAI
• Security incident disclosure — July 2026 – Hugging Face
• Fast Remediation Is the New Trust Model: JFrog and OpenAI Collaboration on Zero-Day Security Findings – JFrog
• Artifactory Self-Managed Releases – JFrog
• JFrog Security Advisories – JFrog
• CVE-2026-65617 – National Vulnerability Database
• CVE-2026-65921 – National Vulnerability Database
• CVE-2026-65923 – National Vulnerability Database
• CVE-2026-65924 – National Vulnerability Database
• CVE-2026-65925 – National Vulnerability Database
• CVE-2026-66014 – National Vulnerability Database
• CVE-2026-66015 – National Vulnerability Database
• CVE-2026-66018 – National Vulnerability Database
• OpenAI models used Artifactory zero-days to escape to the internet – BleepingComputer
• OpenAI、TanStackへのサプライチェーン攻撃で従業員端末2台へ不正アクセス – セキュリティ対策Lab
• サイバー攻撃のAI活用はより高度化・標準化 – セキュリティ対策Lab
• AIを悪用したサイバー攻撃が急増、企業がとるべき具体的な対策 – セキュリティ対策Lab