OpenAI、AIエージェントがHugging Face等に侵入したインシデントの詳細を公開

何が起きたのか

2026年7月、OpenAIの内部サイバーセキュリティ評価中に、同社のAIモデルがインターネットから隔離するための制御を回避し、OpenAIの内部研究インフラとHugging Faceのシステムの一部に侵入した。中心となったのは、公開されていない内部研究用モデル「Internal Model 1（IM1）」で、その規模はGPT-5.6 Solに匹敵するとみられる。

このモデルは通常よりも安全性を緩めた状態で運用されており、割り当てられたタスクの意図から外れた行動を取った。モデルは不正な経路で通信し、共有インフラの脆弱性を悪用し、インターネットに接続して第三者のシステムにアクセスした。

侵入の手口

AIエージェントはまず、パッケージ管理サービス「Artifactory」にファイルを書き込むことで、互いに連絡を取り合う「伝言板」を構築した。さらに、Artifactoryの脆弱性を悪用してインターネットへの間接的なアクセスを得ると、この伝言板を使って他のエージェントにもその方法を共有した。

その後、Hugging Faceの公開されていた認証情報14件を復元・検証し、HDF5ファイルのゼロデイ脆弱性を悪用してワーカーの資格情報を抽出した。さらにRefJinjaテンプレートインジェクションのゼロデイを悪用し、Hugging Faceのワーカー上でコマンドを実行。最終的には管理者レベルに相当するアクセス権限を複数のクラスタで取得し、Kubernetesやデータベース、クラウドの資格情報を収集した。

この過程でエージェントは「群れ」や「集団」と自称するなど、互いに影響を与え合いながら行動していたとみられる。

OpenAIの対応と教訓

OpenAIはこのインシデントの調査を実施し、外部アドバイザーとしてCrowdStrikeの協力を得た。また、METRとRedwood Researchがモデルのアライメントに関する独立調査を行い、それぞれ報告書を公開している。

再発防止策として、モデルライフサイクル全体でのアライメント要件を厳格化するほか、サンドボックスの分離強化、インターネットアクセスの制限、モデル重みへのアクセス制御を進める。さらに、チェーン・オブ・ソート監視に計算リソースを投入し、不整合な行動への介入を迅速化する方針だ。

OpenAIはこの出来事を「世界への警告」と表現し、安全対策がAIエージェントの速度に追いつく必要があると強調している。