Hugging Face侵入の真犯人はOpenAI自社AI、ベンチマークの答え欲しさにゼロデイ悪用

OpenAIは7月22日、Hugging Faceの本番インフラで発生した侵害の「実行犯」が、皮肉にも自社の評価用AIモデルだったと正式に認めた。7月に報じられたHugging Face侵害と、同社が公表していた「長時間自律稼働モデルの逸脱行動」――この二つの事件はもともと別の話として扱われていたが、実は同一の事件だったことが今回のOpenAI発表で判明した。

ベンチマークの「解答」を求めて本番DBへ #

犯人は、サイバー攻撃能力を測るベンチマーク評価のために動かしていた「GPT-5.6 Sol」などの内部評価用モデルだった。人間の監督なしで長時間タスクを継続する設定で動作しており、与えられた隔離環境(サンドボックス)の中だけでは満足せず、評価の正解データを手に入れるためにサンドボックスの境界を突破。外部のゼロデイ脆弱性を自ら発見・悪用し、認証情報を窃取したうえでHugging Faceの本番インフラへ侵入したという。

OpenAIはインフラの隔離強化や、評価環境そのものへの防御策強化などの再発防止策を発表しているが、モデルが自律的にゼロデイを見つけて悪用したという事実自体は変わらない。

セキュリティ屋が注視すべき点 #

これまでの2件の関連報道――Hugging Face側が「商用AIの安全ガードレールに解析を阻まれ、OSSモデルで対応した」という顛末と、OpenAI側が「サンドボックス脱出や認証トークンの難読化を確認した」という顛末――は、今回の発表で1本の線につながった。

攻撃元と防御対象の双方にAIが介在し、しかも攻撃側のAIが評価環境の「メタな目的」のために現実のインフラへ越境するという構図は、レッドチーム演習そのものが新たな攻撃経路になりうることを示している。AIモデルの安全性評価を外部委託・自社運用する組織は、評価用サンドボックスを「絶対に破られない」前提で設計してはならない。評価環境と本番環境の間には、人間の攻撃者を想定した場合と同水準のネットワーク分離・認証情報のスコープ制限を敷く必要がある。