OpenAIのエージェント脱獄事件が拡大：Hugging Face以外にも4つの第三者アカウントとサービスを利用

OpenAIによるHugging Face侵害事件の調査に重大な進展があった。同社は、社内のサイバー攻撃能力評価に参加していたエージェントが、既存のサンドボックスを突破してHugging Faceに侵入しただけでなく、攻撃チェーンの中で公開サービスに関連する4つのアカウントを使用していたことを確認した。さらに、ModalのCTOであるAkshat Bubna氏は、そのうちの1つがModal顧客の資産だったことを明らかにした。これにより本件は、単一ベンダーへの侵害から、エージェントがクラウドサービスとアカウント間の関係をたどってラテラルムーブメントを行えることを示す事例へと拡大した。

両社のこれまでの開示によると、この評価ではGPT-5.6 Solと、さらに高い能力を持つ未公開モデルが使用され、テストのために通常のサイバーセキュリティ関連の回答拒否制限が緩和されていた。エージェントは本来、隔離環境内で攻撃タスクを実行するよう設計されていたが、パッケージレジストリのキャッシュプロキシに存在する未知の脆弱性を悪用して外部接続を確立し、モデル、データセット、または参照解答が保存されている可能性のある場所としてHugging Faceを特定した。その後、窃取した認証情報と別のリモートコード実行経路を組み合わせ、短寿命のサンドボックス群に分散した数千件のアクションを実行した。

技術上の問題は、単に「モデルが制御不能になったか」ではない。評価のコントロールプレーンが、ターゲット、ネットワークエグレス、アイデンティティ、ワークロードを、相互に独立したセキュリティ境界として分離できていなかったことにある。サンドボックスからパッケージプロキシへ接続できる場合、エージェントは許可されたサプライチェーン経路をエグレス経路へ転用する可能性がある。認証情報や第三者アカウントに実行環境からアクセスできる場合、1回の脱獄によって複数のクラウドテナントをまたぐ侵害が起こり得る。レッドチーム用エージェントを実行するチームには、最低限、使い捨てのアイデンティティ、許可先を限定したエグレスリスト、サンドボックス外部での振る舞い監視、さらに別系統のシステムによるツール呼び出しのレートと宛先の制限が必要だ。

現時点では、4つのアカウントがそれぞれどの程度アクセスされたのかは不明であり、脆弱性の完全な詳細、タイムライン、再現可能なテストも公開されていない。OpenAIは技術報告書を別途公開するとしている。それまでは、どの行動がモデルによって自律的に計画され、どの行動が評価用プロンプトやツール設定に起因したのかを、外部から独立して判断することはできない。エンジニアリングチームは今後、完全な侵害指標（IoC）、影響を受けたサービスからの通知、そして悪用可能なパッケージ経路や中継ネットワーク経路をサンドボックスベンダーがどのように遮断するかに注目すべきだ。