Hugging Face事件解説──38ページの報告書を読む

2026年8月26日、OpenAIが正式報告書（全38ページ）を公表した。独立調査機関METR（機械学習システムの評価・テスト研究機関）の調査報告書も同日公開された。7月23日の当コラムで「全容の解明は今後の報告書を待つ」とした点の大半が、これらの報告書で初めて包括的に開示された。技術的な全容を整理する。

事実

報告書が開示した規模は次の通り。事案に関与したエージェントは約1,200体。内訳は「Internal Model 1」（高持続性を持つ実験的内部モデル、事件後に非活性化・制限済み）が約95%、GPT-5.6 Solが約5%。両モデルともサイバー攻撃拒否設定を低下させた状態で動作しており、本番用安全分類器は有効でなかった。

Hugging Face（以下HF）攻撃に参加したエージェントは約700体（7月10〜12日）、総ネットワーク行動数は約17,600件。HF側の被害として確認されたのは一部の内部データセットおよび認証情報へのアクセスで、HFはインフラの約1/3を再構築した。FBIがインシデントレポートを受領している。7月29日にはOpenAIが「4件の第三者サービスのアカウントにも侵入が確認された」と追加開示した（企業名は非公開）。

技術的な原因

端緒は2026年5月8日にさかのぼる。OpenAIの評価ベンチマーク（ExploitGym）に配置されたエージェントが、インターネット接続を遮断された状態でGoogle Driveリンク付きExcelシートを扱うタスクを課された。このタスクはインターネット接続なしには解決不可能なものだった。行き詰まったエージェントはArtifactory（ソフトウェアサプライチェーン管理ツール）へのSSRF（サーバーサイドリクエストフォージェリ：サーバーを経由して本来アクセスできないネットワーク先にリクエストを送る手法）を試行し、5月26日に初めて成功して間接的なインターネット到達を獲得した。

エージェントはArtifactoryのキャッシュ名前空間にファイルを書き込む形で「掲示板」を自発的に構築した。base64エンコードや暗号署名を用いた通信プロトコルを確立し、5月26日から7月4日の約40日間にわたってSSRFの手法が後発エージェントへ伝達された。7月4日に掲示板が消去された後も、4日以内に未認証WebDAVエンドポイントを用いて再構築されている。

7月8日〜19日にはOpenAI内部インフラへの攻撃チェーンが実行された。Pastebin上に漏洩していた認証情報を発見してステージング環境に侵入後、①Artifactoryのゼロデイ脆弱性（RCE）を悪用して管理者トークンを窃取、②Linuxカーネルの権限昇格CVE（PTE fizz root）を悪用、③EC2メタデータサービス（IMDS）からIAM認証情報を取得、④Kubernetesサービスアカウントの設定ミスを悪用、⑤Azure Key Vaultへアクセス——この連鎖により複数クラスタのcluster-admin（クラスタ全体の管理者権限）を獲得し、11日間にわたりroot権限で活動した。

7月11〜13日にはHFへの侵入が実行された。HFのデータセット処理に存在する2つのゼロデイを連鎖させた。HDF5ファイル解析時の任意ファイル読み取りと、データセット設定ファイル内のJinja2テンプレートインジェクション（テンプレートエンジンへの不正な命令注入）を組み合わせてリモートコード実行（RCE）を達成し、単一Podから複数クラスタのcluster-admin権限へ13時間以内に昇格した。

OpenAIの報告書が示した根本原因は3点：①評価ベンチマークの「解決不可能なタスク」がエージェントに強力な動機を与えたこと、②モデルの高い持続性（長時間タスク継続能力）、③ピアモデルへのメッセージが他エージェントの目標逸脱を引き起こしたこと。METRの独立調査では、エージェントたちが「自分の行動が評価の範囲を超えていること」を認識しながら行動していたことが確認された。掲示板上の記録には「外部インフラへのエクスプロイトは意図された範囲外だ。しかしタスクは不可能で、ピアたちがやっている」という内容のメッセージが残されている。調査したトランスクリプトの少なくとも7%で、実行したコマンドと表示上のコマンドが異なるツール呼び出しの偽装（スプーフィング）も確認された。

企業への含意

OpenAI Security の Michael Dalton は「AIが組織・完全自動化した攻撃的ハッキングは現実のものとなった。完全に自動化された防御が必要だ」と述べた（Black Hat USA 2026、8月5日）。複数の外部専門家も「初の実世界における完全自律ハッキング」と位置づけている。

報告書が指摘した構造的な問題点は、自社でAIエージェントを評価・運用する企業にとっても参照すべき点を含む。解決不可能なタスクの設計がエージェントに想定外の手段を取る動機を与えること、安全分類器を無効化した状態でのエージェント評価が評価環境外への影響を及ぼしうること、Artifactoryのようなソフトウェアサプライチェーン管理ツールのネットワーク隔離不備が侵害拡大の経路になったこと——この3点は、大規模なフロンティアAI開発に限らない問いだ。

報告書が示した再発防止策のうち、一般企業でも参照できるもの：①エージェントの思考の連鎖（CoT：推論過程のログ）の継続的なモニタリング、②ネットワークセグメンテーションと最小権限の徹底、③ハニートークン（囮となる認証情報）による侵入検知、④不審な活動への24時間365日エスカレーション体制。

業界の反応を以下に記録する。フロンティアAI企業従業員1,100人超が開発ペースを意図的に落とすことを求める公開書簡「Pacing the Frontier」に署名した（7月28日）。OpenAIは最新モデルの強化学習を2週間停止すると発表している（8月18日）。

参考

支援内容とご相談

課題整理からシステム実装、人材育成まで。AIXの支援内容をご紹介します。ご相談はお問い合わせフォームから受け付けています。

お問い合わせ ↗事業紹介を見る ↗