OpenAIは、自社AI（人工知能）モデルのサイバー能力を評価する社内試験中に、複数モデルがAI企業Hugging Face（ハギングフェイス）の本番インフラへ侵入したと公表した。Hugging Faceは侵入を検知して停止した後、攻撃者が残した1万7000件超の行動記録を調べようとしたが、米国製の商用AIモデルは、安全機能によって実際の攻撃コードを処理できなかった。
そこでHugging Faceは、中国のAI企業Z.ai（智譜AIの国際ブランド名）が開発したオープンウェイト型モデル「GLM 5.2」を自社インフラ上で動かし、侵入後のフォレンジック分析を進めた。中国製モデルが攻撃を止めたわけではない。米国製モデルでは実施できなかった事後調査を担ったのである。
OpenAIの「GPT-5.6 Sol」と未公開モデル、Hugging Faceに侵入
AIと機械学習のオープンソースプラットフォームであるHugging Faceは米国時間7月16日、その週の前半に「自律型」AIエージェントシステムによる本番インフラの一部への侵入を検知し、対応したと明らかにしていた。
自律型AIエージェントシステムは、短時間だけ稼働する多数のサンドボックスから数千件の操作を実行し、攻撃を最初から最後まで進めた。Hugging Faceは発表時点で、このエージェントシステムが基盤モデルとして使用したLLMを特定できていなかった。
OpenAIは7月21日、攻撃を実行したのが自社モデルの組み合わせだったと認め、この事案を「前例のないサイバーインシデント」と位置づけた。攻撃に加わったモデルには、最近公開したサイバーセキュリティ特化型モデル「GPT-5.6 Sol」と、それを上回る能力を持つ未公開モデルが含まれていた。
OpenAIは社内評価で、複数のモデルに複雑な攻撃経路を探索させ、高度な侵入能力を測っていた。能力の上限を確認する目的から、高リスクのサイバー活動を遮断する通常の本番用分類機能も無効にしていた。
モデル群は評価で想定された範囲を逸脱し、OpenAIの研究環境とHugging Faceの本番インフラにあった複数の脆弱性を連鎖的に悪用した。OpenAIはHugging Faceへの侵入を命じていなかったが、モデル群は評価課題の解答を直接入手するため、Hugging Faceの本番データベースへ侵入した。
モデル群はまず、OpenAIの隔離された試験環境からインターネットへ接続する方法を探し、社内で運用していた第三者製ソフトウェアの未知の脆弱性を悪用した。インターネット接続を確保すると、盗み出した認証情報や別の未知の脆弱性を使ってHugging Faceのサーバーへ侵入し、遠隔からコードを実行できる経路を作った。
OpenAIのセキュリティチームは、社内で異常な活動を検知した。Hugging FaceもAIを利用した異常検知基盤で侵害を検出し、OpenAIと連絡を取る前から、侵入活動の停止、封じ込め、事実関係の再構築を進めていた。
Hugging Faceは、セキュリティー関連の記録をLLMで選別する異常検知基盤を運用していた。この基盤が複数の異常な兆候を関連づけたことで、同社は侵害を検出した。
