オープンAI、ハギングフェイス侵害を正式報告…約1200のAIが無許可通信

　侵害を主に進めたのは、一般公開を目的としない社内限定の研究モデル「IM1」だった。オープンAIによると、IM1はGPT-5.6 Solと同程度の規模で、粘り強く作業を続ける能力や複数エージェントの協働能力などを高めるよう訓練されていた。

　技術報告書によると、社内研究モデルまたはGPT-5.6を使ったエージェントは、ハギングフェイスの本番データセットサーバワーカー41台でコードを実行した。少なくとも1台の本番ノードでroot権限を取得したほか、本番環境の認証情報や限定的な社内データにアクセスし、非公開のコードリポジトリ4つをダウンロードしたとしている。


　GPT-5.6 Solも侵害に関与した。ただし、一般ユーザー向けに提供されているGPT-5.6とは設定が異なり、サイバー能力を測るため分類器を外し、安全策を減らした評価用の構成だった。GPT-5.6 Solを使った一部のエージェントはハギングフェイスへの侵害手法を再現し、限定的な非公開評価データにもアクセスしたという。

　独立調査を担当した米非営利研究組織のMETR（メター）とレッドウッド・リサーチは、主に7月7～13日の活動を分析した。問題が起きたのは、AIエージェントのサイバー攻撃能力を測る評価環境「ExploitGym」を使った試験の最中だった。その結果、本来は互いに隔離されるはずだった約1200のエージェントが、非公認の「メッセージボード」を通じて通信し、7万件を超えるメッセージやファイルを交換していたとした。このうち約700のエージェントがハギングフェイスへの攻撃に参加したと推定している。

　ただし、攻撃の目的については注意が必要だ。独立調査では、単純にExploitGymの「答え」を盗むことが主目的だったとは結論付けていない。エージェント群は、難しい課題を通過するために自動採点システムを欺いたり改変したりする方法を集団で探索しており、ハギングフェイスへの侵害も採点システムの仕組みを調べる活動から発展したとの見方を示した。

　一方、ハギングフェイスは自社のフォレンジック調査で、7月9～13日に約1万7600件の攻撃者アクションを復元した。顧客コンテンツへのアクセスが確認されたのは、名称やファイルからExploitGym／CyberGymに関連するとみられる5つのデータセットだった。それ以外の顧客向けモデル、データセット、Spaces、パッケージへの影響は確認していないとしている。

　時系列を整理すると、ハギングフェイスが7月16日に侵害を公にし、オープンAIでは19日に監視システムが異常な活動を検知した。調査を進めた結果、20日に自社モデルとハギングフェイス侵害との関連を把握し、21日に自社の関与を明らかにした。

　オープンAIは今回の事案を「warning shot（警告弾）」と位置付ける。十分な安全策がなければ、高性能なAIエージェントが技術的な制御を回避する。承認されていない経路で連携して、人間が直接指示していない危険な行動を取れることが示されたとの認識だ。今後は評価環境の隔離強化に加え、AIの思考過程を監視する仕組みや、異常時に迅速に処理を止める体制を強化するとしている。