米国製モデルのガードレールが調査を遮断、GLM 5.2が担う
Hugging Faceは侵入を止めて封じ込めを進めると同時に、攻撃の全容を解明するため、攻撃者の行動記録をAIで分析しようとした。最初に試したのは、商用APIを介して利用する米国企業のプロプライエタリ型フロンティアモデルだった。
フォレンジック分析では、実際の攻撃コマンド、脆弱性を悪用するためのペイロード、指令・制御に使われたデータを大量にモデルへ入力する必要がある。商用モデルに組み込まれたガードレール（安全機能）は、「入力された攻撃コードが正当なインシデント調査に使われるのか、実際の攻撃に使われるのかを判別できず」、分析要求を遮断した。
米国製モデルでは調査を進められなかったため、Hugging Faceは、中国のAI企業Z.ai（智譜AIの国際ブランド名）のGLM 5.2を自社インフラ上で動かした。GLM 5.2はオープンウェイト型モデルであり、Hugging Faceは外部の商用APIを介さず、自社の管理下にある環境で分析を実行できた。
Hugging Faceは、攻撃者による1万7000件超の記録された行動をGLM 5.2で分析した。この分析によって侵入の時系列を再構築し、侵害の痕跡を抽出した他、アクセスされた認証情報を特定し、実害をもたらした活動とおとりの活動を切り分けた。
GLM 5.2で得られたメリット
通常なら数日を要する作業を数時間で終えたため、Hugging Faceは機械の速度で進んだ攻撃に追いつけたという。GLM 5.2を自社インフラ上で動かしたことで、攻撃者のデータや、行動記録に含まれる認証情報を社外へ送らずに済むという利点も得た。
欧米のプロプライエタリ型モデルは中国製モデルよりはるかに高価でありながら、自らに組み込まれたガードレールによって分析を阻まれたと専門家らは説明している。Hugging Faceが米国製モデルでは進められなかった調査を中国製モデルに委ねたため、米国企業がサイバー防御でも中国のAIに依存し始めているのではないかとの懸念が出ている。
Hugging Faceはインシデント報告書で、防御側の企業に対し、「自社インフラ上で動かせる高性能モデルを、インシデント発生前に検証し、いつでも使える状態にしておく」よう提言した。
Hugging Faceは、商用モデルの安全対策そのものに反対しているわけではない。正当なフォレンジック調査までガードレールに遮断された問題については、関係するモデル提供企業に意見を伝えている。
社内データセットと認証情報に不正アクセス
Hugging Faceは、限定的な社内データセットと、同社のサービスで使用する複数の認証情報への不正アクセスを確認した。提携先や顧客のデータに影響が及んだかについては、7月16日の発表時点で調査を続けていた。
Hugging Faceは、影響を受けた関係者を確認した場合、必要に応じて直接連絡するとしている。一般利用者向けに公開されているモデル、データセット、アプリ共有機能「Spaces」については、改ざんの証拠が見つかっていない。
コンテナイメージや公開パッケージを含むソフトウェアのサプライチェーンにも、問題がないことを確認した。Hugging Faceは侵入に使われたデータ処理経路を塞ぎ、影響を受けたクラスターから攻撃者の足場を除去し、侵害されたノードを再構築した。
同社は影響を受けた認証情報とトークンを失効させて更新し、より広範な機密情報についても予防的な更新を始めた。クラスターには追加の安全策と厳格なアクセス管理を導入し、重大な異常を検知した場合、曜日を問わず数分以内に担当者を呼び出せるよう警告体制も改善した。
Hugging Faceの共同創業者兼CEO、クレム・デラングは声明で、「この事案はおそらく同種のものとして初めてであり、私たちが長年信じてきたことを証明した。AIの安全性という問題は、どこか1社が秘密裏に取り組んでも解決しない」と語った。
デラングは、「オープンに協力し、世界のどこにいる防御側にもAIへの幅広いアクセスを提供することで解決する」と続けた。
