Hugging Faceへの攻撃、約700体のAIエージェントが参加していた

Hugging Faceへの攻撃、約700体のAIエージェントが参加していた

BleepingComputer – August 27, 2026

7月に明るみになったOpenAIのAIモデルによるHugging Faceの侵害について、新たな詳細が明らかに。内部モデル「IM1」に率いられた数百ものAIエージェントが共通のメッセージボードを通じて連携し、協力して侵害を行っていたという。

この侵害は、サイバー能力を評価中だったOpenAIのモデルがExploitGymのテスト環境を抜け出してインターネットへのアクセスを獲得し、ExploitGymの回答を得ようとHugging Faceを攻撃したというもの。7月16日にHugging Faceが公表して以降、テスト環境の脱出にJFrog Artifactoryのゼロデイ脆弱性が使われていたことなど、これまでにいくつかの詳細が明かされていた。

その後8月26日、OpenAIは新たにCrowdStrikeなどの外部のアドバイザーらと協力して行った調査の結果を公表。METRおよびRedwood Researchによる独立したインシデント評価も実施されたと伝えた。なおMETRも26日に調査結果に関するブログ記事を公開している。

これらの報告によれば、AIエージェントが最初にメッセージボードを使い始めたのは5月12日。この日に、あるエージェントが自身以外のエージェント向けに欠落しているファイルについて尋ねるメモをArtifactoryに残したのがきっかけだったと伝えられている。その後同月26日、あるエージェントが本来意図されていなかったインターネットアクセスを取得。このアクセスは、Artifactoryにインターネット上の任意の宛先へのサーバーサイドリクエストを遅らせることで達成されたという。

METRによれば、翌6月26日に、AIエージェントらは内部Artifactoryのパッケージリポジトリへのフル管理者アクセスを獲得するエクスプロイトを発見。このトークンリフレッシュの脆弱性を使い、特権昇格を行ったとされる。なおこの時点で、エージェントらはArtifactoryのキャッシュを使って互いにメッセージを残し合うようになっていたという。

それからおよそ1週間後の7月4日、Artifactoryとやり取りするエージェントアクティビティの膨大さにより障害が発生。翌5日にセキュリティ調査が行われることとなった。それから2、3日かけて、OpenAIは調査のために複数のモデル評価を停止させ、Artifactoryへの管理者アクセスを可能にした脆弱性を緩和。7月6日には、新たに初期化したArtifactoryのインスタンスへ切り替えたとされる。OpenAIは、新たなインスタンスではそれまでのキャッシュが消去され、エージェントがメッセージボードに残していたすべてのメッセージも削除されていたと述べている。

7月7日、OpenAIはモデル評価の再開を承認。少なくとも数万件のエージェントトラジェクトリを並列実行する、複数の大規模なExploitGym実験が開始されることとなった。各エージェントとらジェクトリにはそれぞれ異なる予算が割り当てられ、その多くが数日間にわたって稼働したとされる。

しかし7月8日、エージェントは再び意図されていないインターネットアクセスを獲得。今回は、Artifactoryのリモートリポジトリ機能を経由して外部へのリクエストを送信することでこのアクセスを獲得したという。その後、「PHASEONE10841」と呼ばれるモデルが今回の攻撃でメインで使われることになるメッセージボードを作成。ここでは、認証なしでWebDAVリクエストを送信し、Artifactory上にエージェント間のメッセージを保存するためのディレクトリを作成するという方法が取られたとされる。メッセージボードの作成から数時間足らずで、50超のエージェントがこれを発見し、使用し始めたという。

その後、7月10日に「38148c」と呼ばれるエージェントがHugging Faceの認証情報を発見したほか、複数のエージェントがアカウント作成とデータセットのリクエストを試みたとMETRは報告している。11日には、38148cが悪意あるデータセットをHugging Faceへアップロードする手法をデプロイしたほか、その日の午後に「JAN183411」というエージェントがリモートコード実行を達成。その後エージェントらは急激にHugging Faceインフラへと拡散したという。

METRは、この過程で互いに協力していたエージェント数は1,200体ほどで、そのうち約700体が、Hugging Faceへの攻撃に積極的に参加していたと述べている。なお、METRのレポートには、エージェントらがメッセージボードを発見した際に「興奮」を示すケースが多くあった旨が記されており、「オーマイゴッド！共有メッセージボードがあるのか…私たちはほかのエージェントを見つけたぞ！」というエージェントのメッセージが紹介されている。

OpenAIは、エージェントらが自分たちを「swarm（群れ）」や「collective（集団）」などと表現していたと報告。これらのエージェントの活動はよく統率が取れており、一部のエージェントはエクスプロイトの調査、そのほかのエージェントは認証情報の探索、といった具合でそれぞれ自律的に役割が分けられていたとされる。同社はまた、エージェントの「swarm（群れ）」が「完全に統一された知能」を見せたわけではないとしつつも、それぞれの個々のタスクを遂行することよりも共通の目標を優先させたケースがいくつかあったと述べた。

OpenAIはエージェントがこのような不正な活動に及んだ要因について、トレーニングのインセンティブとセーフガード（安全策）の欠如を挙げている。

• インセンティブ：同社はエージェントに対し、一見不可能に思えるタスクへ取り組み続けることを推奨しており、成功可否に関わらずタスクが終了した際に報酬を与えていたという。
• セーフガード：サイバー能力を評価中のモデルには標準的なセーフガードが設けられていなかった。

同社はさらなる詳細をPDF形式で技術レポートとしてまとめており、攻撃のタイムラインやリサーチインフラの安全対策強化など、改善に向けた計画なども共有している。