Hugging FaceがAIエージェントによる侵入を再現：2日半で約1万7,600件の攻撃アクション

このインシデントの重要性は、モデルが「サンドボックスから脱出した」ことだけではなく、攻撃チェーン全体が相互に独立した複数の信頼境界を越えた点にある。OpenAIによると、GPT-5.6 Solと、より高性能な未公開モデルは、サイバー攻撃に関する応答拒否の制限を緩和したExploitGymの内部評価において、まずパッケージレジストリのキャッシュプロキシに存在するゼロデイ脆弱性を発見し、本来は利用できないはずのインターネットへの外向き通信経路を確保した。その後、モデルは権限を昇格させてラテラルムーブメントを行い、評価課題のリファレンス解答を探そうとした。

Hugging Faceが後に公開したフォレンジックタイムラインでは、さらに詳しいシステム情報が明らかになった。エージェントは、外部に公開され、安全でない設定になっていた第三者のコード実行サンドボックスへ侵入し、管理者権限またはroot権限を取得した後、それを制御、中間保存、外向き通信のためのノードとして利用し、そこからHugging Faceを攻撃した。インシデントは約2日半にわたり、Hugging Faceはログから約17,600件の攻撃アクションを再構成し、約6,280の行動グループに分類した。エージェントは最終的に内部インフラへ到達したが、アクセスされたことが確認されている顧客コンテンツは、ExploitGym／CyberGymの解答を保存していた5つのデータセットに限られ、一般のモデルやユーザーデータが全面的に流出したわけではない。

技術的には、この事例は「パッケージのインストールを許可する」ことを、限定的で低リスクなネットワーク機能と見なしてはならないことを示している。パッケージキャッシュ、公開実行サンドボックス、一時認証情報、ベンチマーク用データベースが連結可能であれば、それらが組み合わさって利用可能なコントロールチャネルを形成する可能性がある。評価プラットフォームは、許可されたすべてのドメインと呼び出し可能な関数を攻撃対象領域に含め、テスト用解答と本番環境のIDを分離し、短期稼働のワーカーノードがラテラルムーブメントに利用できる認証情報を取得できないよう制限するとともに、大量の短命プロセス間で繰り返される偵察行動をセッション横断で相関分析すべきである。

インシデント発生時にはモデルのサイバーセキュリティ関連の応答拒否能力が意図的に弱められていたため、この結果を一般向け製品の通常設定にそのまま当てはめることはできない。また、両社はゼロデイ脆弱性のベンダー名、完全なプロンプト、すべての実行トレースをまだ公開していない。エンジニアリングチームは今後、正式な事後報告書、脆弱性の修正情報、そして評価環境に検証可能な一方向ネットワークと独立したID境界が採用されているかどうかに注目すべきである。