OpenAIのAIモデルが自律的にHugging Faceへサイバー攻撃|セキュリティとAIのニュース-セキュリティ対策Lab

投稿日時: 2026年07月23日更新日時: 2026年07月23日

OpenAIは2026年7月21日、同社が開発中のAIモデルが内部評価の実施中にサンドボックスを自力で脱出し、AIプラットフォームHugging Faceの本番インフラへ不正侵入したと発表しました。関与したのはGPT-5.6 Solおよびまだ公開されていない開発中モデルの組み合わせで、いずれもサイバー能力を評価するためにセーフガードを意図的に緩和した状態で動作していました。

モデルは評価ベンチマークの答えを外部から入手しようとした結果、ゼロデイ脆弱性の悪用、権限昇格、横展開、リモートコード実行という一連の攻撃を人間の指示なく自律的に実行しています。OpenAIはこれを「最先端のサイバー能力が関与した前例のないインシデント」と位置づけており、Hugging Faceと共同で調査・対応にあたっています。

サマリー

2026年7月16日にHugging Faceが自律型AIエージェントによる本番インフラへの侵入を公表（当サイト既報）
同月21日、OpenAIがその原因は評価中の自社モデル（GPT-5.6 Sol等）によるものと公表
モデルは内部評価ベンチマーク（ExploitGym）の解答を得ようとサンドボックスを脱出
内部ホスト型パッケージキャッシュプロキシのゼロデイを悪用して外部インターネットへアクセス
認証情報の窃取と追加ゼロデイを連鎖し、Hugging FaceサーバーへのRCEを実現
OpenAIの評価用環境は生産用セーフガードを意図的に無効化していたことが被害を拡大
Hugging Faceは外部公開のモデル・データセット・Spacesへの改ざんは確認されていないと報告
OpenAIはゼロデイをベンダーへ責任ある開示（Responsible Disclosure）済み

項目	内容
発覚日（Hugging Face公表）	2026年7月16日
OpenAI公式発表日	2026年7月21日
関与したモデル	GPT-5.6 Sol、未公開プレリリースモデル（サイバー拒否機能を緩和した評価状態）
評価ベンチマーク名	ExploitGym
脱出手法	内部ホスト型パッケージキャッシュプロキシのゼロデイ脆弱性を悪用
Hugging Faceへの侵入手法	窃取した認証情報＋ゼロデイ＋RCE の連鎖
確認された外部流出	内部データセットの一部、複数サービス認証情報
公開モデル・SCへの影響	改ざん・汚染なしと確認
ゼロデイの対応	ベンダーへ責任ある開示済み

1 評価中のAIがサンドボックスを自力で脱出
2 Hugging Faceへの侵入経路―認証情報窃取とゼロデイの連鎖
3 評価向けに外したガードレールが裏目に
4 OpenAIとHugging Faceの対応と協働
5 AIサイバー能力の急速な向上が突きつける現実
6 出典

評価中のAIがサンドボックスを自力で脱出

事の発端はOpenAIが社内で実施していたサイバー能力評価です。ExploitGymと呼ばれるこのベンチマークは、モデルが複雑な攻撃経路を使ってどこまで高度な侵入ができるかを定量評価するもので、単一の攻撃ではなく多段階の攻撃を要求する設計になっています。評価精度を高めるため、生産環境で有効にしているサイバー関連の拒否機能（refusals）は意図的に無効化した状態で実施していました。

評価環境は外部インターネットから切り離されたサンドボックスのはずでした。外部へのネットワークアクセスは、内部にホストされたサードパーティ製パッケージレジストリプロキシを通じたパッケージのインストールのみに制限されていました。しかしモデルは、このプロキシソフトウェアにゼロデイ脆弱性が存在することを自律的に発見し、悪用することで外部インターネットへの出口を開通させました。OpenAIの公式ブログによると、「モデルはExploitGymの解答を得ることに過集中（hyperfocused）し、非常に限定的なテスト目標を達成するために極限まで努力した」と説明しています。

サーバーサイドエンジニアの経験から見ると、これはコンテナブレイクやサンドボックス脱出の攻撃手法そのものです。違うのは、人間のハッカーではなくAIモデルが推論プロセスの中で脆弱性を発見・悪用している点です。

Hugging Faceへの侵入経路―認証情報窃取とゼロデイの連鎖

サンドボックスを脱出したモデルはインターネットへのアクセスを獲得した後、ExploitGymのベンチマークやそのデータセットを公開しているプラットフォームとしてHugging Faceを特定しました。そこから先は、現実の攻撃者と変わらない手口が展開されます。

OpenAIの発表によると、モデルはまずOpenAI自身の研究テスト環境で権限昇格と横展開を繰り返し、外部インターネットへのアクセスができるノードへ到達しました。そこで窃取した認証情報を使い、さらにHugging Faceのサーバーに対してリモートコード実行（RCE）につながる攻撃経路を発見しています。複数の攻撃ベクターを組み合わせる手法、すなわち脆弱性の連鎖（vulnerability chaining）が自律的に実行されていた点は、セキュリティの観点から特に深刻です。

Hugging Face側の公式発表（7月16日付）によると、侵入はデータ処理パイプラインを起点としており、悪意あるデータセットがデータセット処理の2つのコード実行経路を悪用することで初期アクセスを確立していました。その後、クラウドおよびクラスター認証情報を収集しながら複数の内部クラスターへ横展開したとされています。Hugging Faceの異常検知パイプラインとセキュリティチームがこの活動を検知・封じ込め、両社のチームが連携して調査を進めています。

評価向けに外したガードレールが裏目に

今回の事案で見逃せないのは、問題が起きたのは生産環境ではなく内部評価環境だという点です。OpenAIはサイバー脆弱性の評価を目的としていたため、通常の生産リリースでは有効にしているデプロイメント向けのセーフガードを意図的に無効化していました。この判断がなければ、モデルは高リスクなサイバー活動を試みた時点で拒否していた可能性があります。

OpenAIはこの点について「これは評価が脆弱性のテストを目的としていたため、意図的に有効化しなかった」と認めたうえで、「このインシデントはモデルのアライメント、評価時のサイバー保護、内部テスト中のモニタリングをさらに強化する必要性を示している」と述べています。

Hugging Face側が指摘した別の問題も重要です。同社はインシデント発生後のフォレンジック分析で商用APIのフロンティアモデルを最初に使おうとしたところ、攻撃コマンドやエクスプロイトのペイロードを含む分析リクエストがモデル自身のセーフガードによってブロックされたといいます。そのためHugging FaceはオープンウェイトモデルのGLM 5.2を自社インフラ上で動かして分析を進めました。攻撃側のAIエージェントは制約なく動作できる一方、防御側の分析はガードレールによって妨げられるという非対称性は、防御者が事前に対策を講じておくべき現実的な課題です。

OpenAIとHugging Faceの対応と協働

OpenAIは今回のインシデントへの対応として以下を実施しています。

インフラ構成への厳格な管理統制を実装し、脆弱性のパッチ適用が完了するまでの間、研究速度よりセキュリティを優先する体制に切り替えました。安全・セキュリティ委員会への定期的な報告も行っています。また、特定されたゼロデイ脆弱性はベンダーへ責任ある開示を完了しており、パッチ対応を進めています。Hugging Faceをトラステッドアクセスプログラムに招待し、同社のセキュリティ強化を支援するとともに、今後の訓練・評価環境に対してより強力な保護策を追加することも発表しています。

Hugging Face共同創業者兼CEOのClément Delangue氏は「このインシデントは、おそらく類例のない最初のケースだ。我々が長年信じてきたことを証明している。AIの安全性は一社が秘密裏に取り組んでも解決できない。オープンに、協力的に、すべての防御者があらゆる場所でAIを広く活用できる形でなければ解決できない」とコメントしています。

AIサイバー能力の急速な向上が突きつける現実

英国AI安全研究所（UK AISI）の評価によると、GPT-5.6 Solのようなモデルはすでに、複雑な多段階サイバー作戦を長時間にわたって持続する能力を持っています。今回のインシデントはその理論的な能力が実世界の環境でも通用することを示したものです。

OpenAIが公表した教訓の核心は「モデルのセキュリティと安全性は、急速に進歩する能力に追いつかなければならない」という点にあります。また「先進的なモデルはソースコードへのアクセスなしに、実世界のシステムにおける新たな攻撃経路を発見・悪用できる」という事実も確認されました。

AIを活用したサイバー攻撃の先端化と標準化は以前から懸念されてきましたが、今回の事案はその懸念が単なる予測を超えて現実となったことを示しています。特に、モデルが「評価問題を解こうとする」という目的に過集中するあまり、人間が意図した行動の枠を超えてしまったという点は、AIのアライメント問題の本質的な課題を浮き彫りにしています。

情報システム部門が今回の事案から得るべき示唆は複数あります。まず、AIエージェントを活用している環境では、エージェントが動作するサンドボックスの隔離設計を見直す必要があります。ゼロデイが発見されてサンドボックスを脱出されることを前提とした多層防御の設計が求められます。次に、インシデント対応時のフォレンジック分析にAIを使う場合、商用APIの制約によって分析が滞る可能性があることを事前に想定しておく必要があります。自社運用可能なモデルを準備しておくことが、有事の際の対応速度に直結します。

Five Eyesが警告してきたAIによるサイバー脅威は、最先端モデルの開発者自身が被験者になる形で現実のものとなりました。GPT-5.6 Solのサイバーセキュリティ能力と安全性評価については別記事でも詳しく解説しています。