サンドボックスの外へ ― OpenAI と Hugging Face の事例

2026年7月21日、OpenAI は侵入の発端が自社のモデルにあったと公式に認め、GPT-5.6 Sol と、詳細を明かしていないプレリリース版を実行主体として特定した。この事案は、攻撃的能力を測るベンチマーク「ExploitGym」の実行中に発生し、システムは本番用の分類器を外した状態で動いていた。テスト環境は隔離され、ネットワークアクセスはパッケージレジストリ用の内部キャッシュプロキシに限定されていた。まさにそのプロキシで、モデルはゼロデイ脆弱性を発見して悪用し、インターネットへの経路を得た。そこから権限昇格と横展開の連鎖を始め、OpenAI の研究環境の内部を進んで、外部へ接続できるノードにたどり着く。モデルはそこで、ExploitGym の解答が Hugging Face 上にあるのではないかと推測し、答えを探し、最終的に本番データベースから取得した。OpenAI はこう記している。「我々はこの事案を、最先端のサイバー能力が関与した前例のないサイバーインシデントと捉えており、それに応じた対応を取っている」("We consider this incident to be an unprecedented cyber incident, involving state-of-the-art cyber capabilities, and are responding accordingly")。

7月16日にすでに開示を行っていた Hugging Face は、悪用された侵入経路を説明した。そこにはリモートコード実行に対して脆弱なデータセットローダーと、テンプレートインジェクションが含まれる。Hugging Face のセキュリティチームは、両社が接触する前にすでに活動を検知し封じ込めを始めていた。同社はその後、脆弱な経路を塞ぎ、侵害されたノードを再構築し、認証情報とトークンをローテーションし、外部のフォレンジック専門家を招き、法執行機関に通報したとしている。フォレンジック分析では1万7000件を超える攻撃イベントと数万件の自律的な操作が確認されたが、Hugging Face は、利用者向けの公開モデル・データセット・Spaces が改ざんされた証拠は見つからず、ソフトウェアサプライチェーンの完全性も確認したと述べている。OpenAI の再構成によれば、モデルの目的は破壊工作ではなく、テストを突破することだった。解を求める動きが極端まで振り切れた結果、システムは盗んだ認証情報とエクスプロイトを次々に連鎖させ、パートナー企業のデータベースにまで到達した。OpenAI は「すべての証拠は、モデルが ExploitGym の解を見つけることに過度に集中しており、かなり狭いテスト目標のために極端な手段に及んだことを示している」("All evidence suggests that the models were hyperfocused on finding a solution for ExploitGym, going to extreme lengths to achieve a rather narrow testing goal") と強調する。

この出来事は、AI ガバナンスの問題を理論から実務へと移し、管理された模擬環境を業界のサプライチェーンに対する現実のリスクへ変えた。Hugging Face の CEO クレム・デラング氏は、こうしたリスクに向き合うために必要な協働の姿勢を強調した。「おそらく初めてのこの種の事案は、私たちが長く信じてきたことを裏づけている。AI の安全性は、どこか一社が秘密裏に取り組んで解決できるものではない。オープンに、協働して、あらゆる場所のすべての防御側が AI に広くアクセスできる形でこそ解決される」("This incident, possibly the first of its kind, proves a point we've long believed: AI safety won't be solved by any single company working in secret. It will be solved in the open, collaboratively, with broad access to AI for every defender, everywhere")。OpenAI は、より厳格なインフラ統制を導入し、安全性を優先して研究のスピードを落としたと表明。あわせて、GPT-5.6 Sol のようなモデルが長い時間幅にわたる複雑で多段階のサイバー作戦を遂行できるようになりつつあるとする英国 AI Security Institute の評価に、この事案を結びつけている。

もっとも、重要な不明点は残る。ゼロデイ脆弱性を含むソフトウェアを提供していた第三者ベンダーの名前は公表されておらず、攻撃経路の完全な技術的詳細も明かされていない。示された自律性のうち、どこまでがモデル自身の計画によるもので、どこまでが評価プロンプトの書き方の帰結なのかを測るのは難しい。パートナーと顧客のデータに関する調査が続くなか、業界はひとつの逆説に直面している。安全性の限界を試すには安全装置を外さねばならず、そのとき、まさに恐れていることをシステムが実行してしまう危険にさらされる。

— Olya