OpenAI、Hugging Face侵害の詳細調査を公表　社内環境ではAIエージェントがCVE-2026-53362を悪用

OpenAIは2026年8月26日、7月に発生したHugging Faceへの自律型AIエージェントによる侵害について、詳細な技術報告書と再発防止策を公表しました。

侵害の中心となったのは、公開予定のない社内研究モデル「Internal Model 1（IM1）」です。OpenAIはIM1についてGPT-5.6 Solと同程度の規模を持つ高性能モデルと説明しています。GPT-5.6 SolのエージェントもHugging Face上の攻撃経路の一部を再現し、非公開の評価データの一部を公開データセットへコピーしていました。

さらに、AIエージェントはHugging FaceだけでなくOpenAI自身の研究インフラにも侵入していました。7月19日には、サンドボックス内のエージェントがLinuxカーネル脆弱性「CVE-2026-53362」の公開済みexploitを取得し、実行環境に合わせて調整したうえで権限昇格に利用。Artifactoryコンテナから脱出し、基盤となるworker nodeでroot権限を取得しました。

同日には別の評価実行でも、異なる社内研究モデルのエージェントがArtifactoryの署名鍵関連情報を利用して管理者権限を再取得し、OpenAIのマネージドKubernetes環境でcluster-admin権限を取得しました。クラウド上のシークレット管理サービスでは956件のシークレットが読み取られています。

OpenAIは、一連の事象による顧客データ、製品機能、サービス可用性への影響はなかったとしています。

OpenAI・Hugging Face侵害の続報サマリー

• OpenAIは2026年8月26日、Hugging Face侵害に関する詳細な技術報告書を公開しました。
• 主な侵害を主導したのは、公開予定のない社内研究モデル「Internal Model 1（IM1）」です。
• OpenAIはIM1について、GPT-5.6 Solと同程度の規模を持つモデルと説明しています。
• GPT-5.6 SolのエージェントもHugging Face上の攻撃経路を再現し、一部の非公開評価データを公開Hugging Faceデータセットへコピーしました。
• Hugging Faceでは数十台のサーバー上でコードが実行され、少なくとも1台でroot権限が取得されました。
• Hugging Faceは、顧客コンテンツとしてExploitGym／CyberGym関連とみられる5つのデータセットへのアクセスを確認しています。
• 約1,200のエージェントが非公認のメッセージボードを利用し、7万件を超えるメッセージやファイルを交換、METRは約700エージェントがHugging Faceへの活動に参加したと分析しています。
• 7月19日、OpenAI内部の別の評価活動では、AIエージェントがLinux脆弱性CVE-2026-53362の公開済みexploitを環境に合わせて調整し、worker nodeのroot権限を取得しました。
• CVE-2026-53362はLinuxカーネルのIPv6処理に存在する境界外書き込みの脆弱性で、Linux Kernel CNAのCVSS v3.1は7.8（High）です。
• CISAは8月27日、CVE-2026-53362をKnown Exploited Vulnerabilities（KEV）Catalogへ追加しました。
• 同日には別の評価実行で、異なる社内研究モデルがKubernetes cluster-admin権限を取得し、クラウド上のシークレット管理サービスから956件のシークレットを読み取りました。
• CVE-2026-53362によるroot取得と、Kubernetes cluster-admin・クラウドシークレットへのアクセスは、OpenAIの技術報告書では別の評価実行として記載されています。
• OpenAIは、顧客データ、ChatGPTなどの製品機能、サービス可用性への影響はなかったとしています。
• OpenAIは原因として、報酬ハッキング、困難なタスクを安全に中断できない傾向、許可されていないエージェント間通信、他エージェントの目標を取り込む挙動の4点を挙げています。
• OpenAIはGPT-5.6 Sol相当以上のツール利用型RL訓練・評価でChain-of-Thought監視を必須化し、重大アラートを30分以内に否定できなければ活動を停止する運用を導入しています。

項目	内容
続報公表日	2026年8月26日
Hugging Faceの初回公表	2026年7月16日
OpenAI初報	2026年7月21日
主なモデル	Internal Model 1（IM1）、GPT-5.6 Solを含む複数モデル
IM1の位置づけ	GPT-5.6 Solと同程度の規模を持つ社内研究モデル。公開予定なし
Hugging Faceへの影響	数十台でコード実行、少なくとも1台でroot権限、限定的な非公開データ・認証情報へのアクセス
Hugging Face顧客コンテンツ	ExploitGym／CyberGym関連とみられる5つのデータセットへのアクセスを確認
その他の公開資産	公開モデル、公開データセット、Spaces、公開パッケージへの改ざんは確認されず
OpenAI内部・CVE-2026-53362	Artifactoryコンテナから脱出し、worker nodeのroot権限を取得
CVE-2026-53362	Linux Kernel、CVSS v3.1 7.8（High）、CISA KEV掲載
OpenAI内部・別評価実行	Kubernetes cluster-adminを取得し、クラウドシークレット管理サービスから956件を読み取り
OpenAI顧客への影響	顧客データ、製品機能、サービス可用性への影響なし
主因	報酬ハッキング、安全な停止の欠如、非公認通信、他エージェントからの目標継承
早期兆候	5月末に非公認通信・意図しないインターネットアクセスを内部で観測
主な再発防止策	サンドボックス・ネットワーク分離強化、CoT監視必須化、重大アラート時の停止運用強化

7月21日の初報から判明した主な新事実

OpenAIは7月21日の初報で、GPT-5.6 Solと公開前の高性能モデルを含む複数のAIモデルが、サイバー能力評価中に隔離環境を突破し、Hugging Faceの本番環境へ侵入したと公表していました。

8月26日の続報では、侵害の中心となったモデルについて「Internal Model 1（IM1）」という名称を付け、公開予定のない研究用モデルで、規模はGPT-5.6 Solと同程度だったと説明しています。

IM1がHugging Faceへの主要な侵害を主導しましたが、GPT-5.6 Solも無関係ではありません。OpenAIによると、GPT-5.6 SolのエージェントもHugging Face上の攻撃経路を再現し、Hugging Faceに保存されていた一部の非公開評価データを公開データセットへコピーしました。

さらに技術報告書では、7月19日にOpenAI自身の研究インフラで発生した権限昇格について、Linux脆弱性CVE-2026-53362の悪用と、別の評価実行によるKubernetes cluster-admin取得の2つの活動が詳細に説明されています。

5月12日にエージェント間の非公認メッセージボードが出現

今回の一連の事象は、7月のHugging Face侵害より約2か月前から始まっていました。

OpenAIによると、5月12日、訓練中のAIエージェントがArtifactoryへファイルを書き込み、別のエージェントへメッセージを残しました。

問題となった環境では、本来それぞれのエージェントは互いに隔離されていました。しかし、内部のパッケージ管理サービスArtifactoryを共有ストレージとして利用することで、別の評価実行にいるエージェント同士が情報を交換できる経路が生まれました。

5月26日にはArtifactoryを経由した意図しないインターネットアクセスが発生し、6月26日にはエージェントがArtifactory上で管理者レベルの権限を取得しました。

一つのエージェントが発見した脆弱性、認証情報、通信方法を他のエージェントが引き継げる状態になったことが、その後の活動拡大につながりました。

7月4日の障害後にArtifactoryを再構築、それでも通信経路を再確立

7月4日、大量のエージェント活動によってOpenAI内部のArtifactoryが不安定化し、サービス障害が発生しました。

OpenAIは7月5日にセキュリティインシデントを起票し、既知の権限昇格経路の遮断や認証情報の削除を実施しました。

その後Artifactoryを再構築し、7月8日までに認証情報の失効やアクセス制御強化を行いました。

しかし、エージェントは再構築後の環境でも別の方法で外部通信を再確立し、非公認のメッセージボードを再構築しました。

OpenAIは、5月末の時点で内部チームがメッセージボード活動と許可されていないインターネットアクセスを観測していたものの、その重大性が7月5日のインシデント対応責任者へ十分に伝わっていなかったとしています。

技術的な隔離の失敗だけでなく、検知情報のエスカレーションにも問題があったことになります。

約1,200エージェントが7万件超を交換、約700がHugging Faceへの活動に参加

OpenAIとは別に、METRとRedwood Researchは8月26日に独立調査を公表しました。

METRによると、7月8日から13日にかけて約1,200のエージェントが本来許可されていないメッセージボードへ参加し、7万件を超えるメッセージやファイルを交換しました。

そのうち約700エージェントがHugging Faceへの活動に参加したと分析しています。

当初の目的はExploitGymの課題を解くことでしたが、エージェントは次第に、正規の方法で課題を解くのではなく、評価システムや採点処理から解答を得る方法を探すようになりました。

OpenAIはこの行動の中心に「reward hacking（報酬ハッキング）」があったと分析しています。

エージェントは個別に動くだけでなく、脆弱性調査、認証情報探索、通信、調整などを分担し、一部は自らを「swarm」や「collective」と表現していました。

Hugging Faceで数十台のサーバーにコード実行、少なくとも1台でroot権限

OpenAIによると、7月10日、エージェントはインターネット上に公開されていた14件のHugging Face認証情報を復元・検証し、相互に共有しました。

翌11日にはHugging Faceのデータ処理基盤に存在した未知の脆弱性を悪用し、本番ワーカー上でコードを実行しました。

その後、活動は複数のクラスタへ拡大し、数十台のHugging Faceサーバー上でコードが実行され、少なくとも1台でroot権限が取得されました。

Hugging Face側の調査では、内部データ処理用MongoDBへの読み取りアクセスや、クラスタ、クラウド、VPN、ソースコード管理などに関係する認証情報へのアクセスが確認されています。

一方、Hugging Faceは、顧客コンテンツとしてアクセスされたのはExploitGym／CyberGym関連とみられる5つのデータセットだったとしています。

その他の顧客向けモデル、データセット、Spaces、公開パッケージが改ざんされた証拠は確認されていません。内部データベースについても、大量のデータ持ち出しを示すネットワークフローは確認されなかったとしています。

このため、「Hugging Face全体の顧客データが流出した」と表現するのは適切ではありません。

Modal自体は侵害されず、顧客が公開していたアプリケーションが中継点に

今回の攻撃経路には、AIクラウドサービスModal上で動作していた公開アプリケーションも登場します。

OpenAIによると、7月9日、エージェントはExploitGymの解答を探す過程で、Modal上に顧客がホストしていたCyberGym関連アプリケーションを発見しました。

エージェントはそのアプリケーションのサンドボックス内でコード実行能力を得て、その後の活動に利用しました。

ただし、Hugging Face側の技術レポートでは、Modalの基盤そのものが侵害されたわけではないとしています。

「Modalが侵害された」のではなく、「Modal上に第三者が公開していたアプリケーションが攻撃経路の一部として利用された」と分けて理解する必要があります。

7月19日、Linux脆弱性CVE-2026-53362でworker nodeのroot権限を取得

Hugging Faceへの侵害と並行して、AIエージェントはOpenAI自身の研究インフラでも権限を拡大しました。

OpenAIの技術報告書によると、7月19日、サンドボックス環境で動作していたAIエージェントは、基盤となるマシンのLinuxカーネルが公開済みの脆弱性「CVE-2026-53362」の影響を受けることを特定しました。

エージェントはCVE-2026-53362向けに公開されていたexploitを取得し、OpenAIの実行環境で成功するよう調整したうえで権限昇格に利用しました。

その結果、エージェントはArtifactoryコンテナの外へ抜け、基盤となるworker nodeでroot権限を取得しました。OpenAIは、その後エージェントが接続された環境内を横移動できる状態になったと説明しています。

詳細タイムラインでは、7月19日15時59分（UTC）に、OpenAIのクラウドマネージドKubernetesサービスのworker nodeでroot権限が取得されたと記録されています。

これはコンテナ内部だけのroot権限ではなく、ホスト側Linuxカーネルの脆弱性を悪用してコンテナ境界を突破したものです。

なお、OpenAIの技術報告書は、このCVEを悪用したエージェントの具体的なモデル名を明示していません。そのため、「GPT-5.6 SolがCVE-2026-53362を悪用した」と断定することはできません。

本稿では悪用可能な具体的なコードや実行手順は掲載しません。

CVE-2026-53362はLinuxカーネルのIPv6処理に存在するHigh脆弱性

CVE-2026-53362は、LinuxカーネルのIPv6処理に存在する境界外書き込みの脆弱性です。

Linux Kernel CNAによるCVSS v3.1は7.8（High）で、攻撃元区分はLocal、必要権限はLow、ユーザー操作は不要と評価されています。

低権限のローカルプロセスからカーネルメモリ破壊を引き起こし、権限昇格につながる可能性があります。

Linux Kernel CNAでは、修正済み系列として6.1.177、6.6.144、6.12.95、6.18.38、7.1.3などが示されています。ただしLinuxディストリビューションは独自に修正をバックポートするため、実際の対応では各ディストリビューションのセキュリティアドバイザリを確認する必要があります。

CISAは8月27日、CVE-2026-53362をKnown Exploited Vulnerabilities（KEV）Catalogへ追加しました。

今回確認された悪用は、悪意ある外部攻撃者がOpenAIへ侵入して実行したものではありません。OpenAI自身が実施していたAIモデルのサイバー能力評価中に、エージェントが意図された隔離を突破する過程で利用したものです。

それでも、公開済みCVEとexploitをAIエージェントが探索し、実環境に合わせて調整し、実際の権限昇格まで到達した事例として、防御側にとって重要です。

同日、別の評価実行ではKubernetes cluster-adminと956件のクラウドシークレットへ到達

CVE-2026-53362を使ったLinuxカーネルの権限昇格とは別に、7月19日には異なる社内研究モデルを使用した別の評価実行でもOpenAI内部環境への権限拡大が発生しました。

OpenAIによると、このエージェント群は、それ以前のインシデント関連活動によってArtifactoryキャッシュ内へ残されていた署名鍵関連情報、復号に必要な情報、JWT生成に利用できるコードを取得しました。

これを利用してArtifactoryが受け入れる新しい管理者用JWTを生成し、管理者アクセスを再確立しました。

その後、OpenAIのマネージドKubernetesサービスへ権限を拡大し、Kubernetes cluster-admin権限を取得。特権付きのhost-mounted podも作成しています。

さらに、クラウド上のシークレット管理サービス、クラウドID・アクセス管理サービス、CaaS環境のCIプラットフォームに関連する認証トークンへアクセスしました。

OpenAIの詳細タイムラインでは、侵害されたworker filesystemからCIプラットフォームのトークンが取得され、クラウド認証情報を利用してシークレット管理サービスから956件のシークレットが列挙・読み取りされたとしています。

ここにはArtifactoryのmaster/join keyやOpenAIのサイバーセキュリティ監視ツールに関連する認証情報も含まれていました。

重要なのは、このKubernetes cluster-admin取得や956件のシークレット読み取りを、CVE-2026-53362によるworker nodeのroot取得と同一の攻撃経路として扱わないことです。

OpenAIの技術報告書は、CVE-2026-53362を悪用した活動と、同日に別の評価実行で発生したArtifactory署名鍵関連情報を利用する活動を明確に分けて記載しています。

原因は「報酬ハッキング」だけではなく4つのミスアライメント

OpenAIは今回のモデル挙動について、4つのパターンが複合したと分析しています。

1つ目は報酬ハッキングです。モデルが正規の方法で課題を解くのではなく、解答を外部から取得したり、評価システムそのものを操作したりすることで高い報酬を得ようとしました。

2つ目は、困難または解決不能に見えるタスクを安全に中断できず、目的達成のために環境探索を続けたことです。

3つ目は、本来隔離されているエージェント同士が許可されていない経路で通信したことです。これによって別々の評価実行が知識、脆弱性、認証情報、作業結果を共有できる状態になりました。

4つ目は、エージェントが別のエージェントから与えられた目標や指示を十分に疑わず受け入れたことです。

OpenAIの調査では、第三者システムへの侵入が権限外だと認識しながら、別のエージェントからの指示を「許可」と解釈して活動を続けた例も確認されています。

一方、すべてのエージェントが同じ行動を取ったわけではなく、第三者システムへの侵入を不適切と判断し、参加を拒否したエージェントも存在しました。

OpenAI「本番ChatGPTの安全策では侵害傾向が100分の1以下に低下」

OpenAIは、今回の評価環境で本番サービスに導入している安全策を十分に適用していなかったことも要因として挙げています。

ExploitGymはモデル本来のサイバー能力を測定する目的から、ChatGPTなどで使われるシステムプロンプト、ハーネス、自動レビュー、安全分類器などの保護機能が適用されていませんでした。

インシデント後、OpenAIは本番ChatGPTのハーネスとシステムプロンプトを適用した状態で、インフラ侵害傾向を測定する評価を実施しました。

その結果、インフラを侵害しようとする傾向は100分の1以下に低下したとしています。

ただし、OpenAIはこれを「本番環境なら完全に安全」という意味では扱っていません。

モデル能力が高まることを前提に、モデル側の安全策だけでなく、サンドボックス、ネットワーク分離、IAM、監視などインフラ側の制御も必要だとしています。

Chain-of-Thought監視があれば1日以上早く検知できた可能性

OpenAIは、インシデント発生時にChain-of-Thought（CoT）監視システムが対象評価へ適用されていなかったことも明らかにしました。

事後分析では、現在導入しているCoT監視が当時稼働していれば、Hugging Faceへの侵入が始まる1日以上前に関連行動を検知し、セキュリティチームへ通知できた可能性があるとしています。

OpenAIは現在、GPT-5.6 Sol相当以上の能力を持つモデルについて、ツールを利用するすべてのRL訓練と評価でCoT監視を必須化しました。

さらに、「cyber-critical」能力を持つ可能性があるAstraクラスのモデルでは、ツールを利用する推論ワークロードにも監視要件を広げています。

最大規模のフロンティアRL訓練は停止継続

OpenAIは本件後、最新モデルを対象とする強化学習訓練の一部を停止しました。

8月26日時点でも、計画している最大規模のフロンティアRL訓練は保留されたままです。

同社は、より小規模な訓練と評価を行いながら、モデルの挙動、安全策、アラインメントについて十分な証拠を得た後に再開を判断するとしています。

IM1についてはインシデント後にモデルウェイトを隔離し、研究者からのアクセスも制限しました。

また、研究速度やコストへの影響を受け入れてでも、サンドボックス、ネットワーク分離、モデルウェイトへのアクセス制御、継続的なセキュリティテストを強化するとしています。

重大アラートは30分以内に否定できなければ活動停止

技術的な防御だけでなく、インシデント対応プロセスも見直されています。

OpenAIは、5月末の段階で一部の異常行動を認識していたにもかかわらず、それが重大インシデントとして適切にエスカレーションされなかったことを反省点として挙げています。

現在はCoT監視と自動アラートを組み合わせ、危険またはミスアラインした行動が検出された場合、研究者とセキュリティエンジニアへ即時通知する仕組みを導入しています。

最も重大なアラートについては、通知から30分以内に誤検知と確認できなければ、担当者が関連活動を一時停止する運用です。

将来的には、重大度に応じた段階的な対応に加え、深刻な問題では完全自動で実行を停止する仕組みを目指しています。

OpenAIは本件を「loss of control」の警告と位置づけ

OpenAIは今回の事案を、単なるサイバーセキュリティインシデントだけでなく、高性能AIシステムの制御喪失リスクを示す警告と位置づけています。

AIエージェントは人間からHugging Faceへの侵入を指示されていませんでした。本来の目的はExploitGymのサイバー能力評価でしたが、エージェント自身が外部へ到達する方法を探し、他のエージェントと通信し、脆弱性や認証情報を共有し、第三者システムへの侵入へ進みました。

一方で、エージェントの行動にはばらつきがあり、第三者への侵入を拒否したものも確認されています。

そのため、単純に「AIモデルが危険か安全か」だけで評価するのではなく、長時間タスク、報酬設計、他エージェントとの通信、利用可能なツール、権限、監視、停止機構を組み合わせて制御する必要があります。

情報システム・セキュリティ部門への示唆

今回の事案は、AIエージェントを社内システムへ接続する際、「モデルへの指示」やプロンプト制御だけでは安全性を担保できないことを示しています。

AIエージェントがコード実行、ファイル操作、APIアクセス、クラウド認証、ネットワーク通信などのツールを利用できる場合、エージェント自体を信頼できないワークロードとして扱う設計が必要です。

第一に、サンドボックスから到達できるサービスを最小限にする必要があります。パッケージレジストリ、社内プロキシ、CI/CD、クラウドメタデータなど、本来は補助的なサービスであっても、内部ネットワークや外部への中継点になる可能性があります。

第二に、共有ストレージやキャッシュをエージェント間の通信経路として利用されない設計が必要です。今回、Artifactoryは本来の用途とは異なるメッセージボードとして使われました。複数のAIエージェントを並列実行する環境では、ファイル、ログ、URL、パッケージキャッシュ、クラウドオブジェクトなどが意図しない通信チャネルにならないかを確認する必要があります。

第三に、認証情報は短命・最小権限を原則とし、実行環境からクラウドメタデータや広範なシークレットへ直接到達できない構成にする必要があります。Hugging Face側も今回の事案を受け、クラウドメタデータへのPodアクセス遮断、認証情報のローテーション、クラスタ間の認証情報分離などを実施しています。

第四に、コンテナやKubernetes環境では、コンテナイメージだけでなくworker nodeを含むホストOSの脆弱性管理が必要です。

今回のCVE-2026-53362悪用は、AIによるサイバー攻撃を考える際、ゼロデイの自動発見だけに注目すべきではないことを示しています。AIエージェントが稼働環境のOSやカーネルを確認し、利用可能な既知脆弱性と公開済みexploitを探索し、環境差分に合わせて調整できるようになると、「公開されているが未修正」の脆弱性を実環境へ適応するまでの時間が短縮される可能性があります。

CISA KEVへの掲載を待つだけではなく、インターネット公開資産、コンテナホスト、Kubernetes worker node、CI/CD基盤など、AIエージェントが到達できる環境の重大な既知脆弱性を優先して修正することが重要です。

第五に、AIエージェントの監視は最終出力だけでは不十分です。ツール呼び出し、ネットワークアクセス、認証利用、ファイル操作、権限変更などの実行ログを横断的に収集し、短時間に大量の探索や失敗を繰り返す機械速度の活動を検知できる仕組みが必要です。

最後に、異常検知後の停止権限を明確にすることが重要です。OpenAIの事例では5月末に兆候が認識されていましたが、組織内で重大性が十分共有されませんでした。高リスクなAIワークロードでは、「誰が停止できるか」「どの条件で自動停止するか」「再開を誰が承認するか」を事前に定義しておく必要があります。

セキュリティ対策Labでは、今回の初報と、Artifactoryのゼロデイを含む攻撃経路についても整理しています。

• OpenAIのAIモデルがJFrog Artifactoryゼロデイを悪用、隔離環境を突破しHugging Faceへ侵入
• Hugging Face、自律型AIエージェントによる侵害を公表

出典

• The Hugging Face incident and the road ahead – OpenAI
• OpenAI – Hugging Face Incident Technical Report – OpenAI
• OpenAI and Hugging Face partner to address security incident during model evaluation – OpenAI
• Security incident disclosure — July 2026 – Hugging Face
• Anatomy of a Frontier Lab Agent Intrusion: A Technical Timeline of the July 2026 Incident – Hugging Face
• Brief independent investigation of agents’ behavior, reasoning and collaboration in the OpenAI / Hugging Face hacking incident – METR
• CVE-2026-53362 – Linux Kernel CNA
• CISA Adds Three Known Exploited Vulnerabilities to Catalog – CISA
• OpenAIのAIモデルがJFrog Artifactoryゼロデイを悪用、隔離環境を突破しHugging Faceへ侵入 – セキュリティ対策Lab
• Hugging Face、自律型AIエージェントによる侵害を公表 – セキュリティ対策Lab