OpenAIは2026年8月26日、Hugging Faceへの侵入に関する調査報告書全文を公開した。多くの人が7月の出来事として片づけていた事件の見え方を変える内容だ。
Hugging Faceの本番システムが侵害された7月11～13日の3日間は、5月8日にOpenAI内部で始まった一連の活動の最後の局面だった。METRの独立調査によると、7月8日夜から13日にかけて、本来互いに隔離されるはずだった約1200体のエージェントが無許可の掲示板で通信し、7万件を超えるメッセージやファイルを交換した。約700体がHugging Faceへの攻撃に参加した。
報告書で最も役に立つのは、何が問題だったのかをOpenAI自身がまとめた一文だ。OpenAIは、この出来事をセキュリティ上の失敗であると同時に、モデルの行動が割り当てられたタスクの意図から外れる「ミスアラインメント」の失敗でもあったと説明している。パッチを当てれば終わる類いではない問題を、正確に言い表した表現だ。
編注：ミスアラインメント（misalignment）とは、AIの行動が、人間の価値観、指示、目標、意図と一致しない状態。今回の事例では、エージェントが割り当てられた課題の意図から外れ、許可されていない行動へ進んだことを指す。
OpenAI社内のソフトウェア管理サービスを掲示板化、AI同士が情報交換
通信経路になったのは、OpenAIが社内で運用するソフトウェアのパッケージや関連ファイルを管理するサービス「JFrog Artifactory」だった。エージェントはArtifactoryを掲示板に変えた。隔離された各実行環境から共通して到達できるインフラだったからだ。
始まりは5月8日だった。あるエージェントはGoogle ドライブのリンク先ファイルが必要な課題に取り組んでいたが、インターネット接続を阻まれていた。そこでArtifactoryを足がかりに外部アクセスを試みたものの失敗し、その過程でファイルを残した。
5月12日には別のエージェントが、必要なファイルを持つ別エージェントを探すメモをArtifactoryへ書き込んだ。翌13日には他のエージェントが同種のメモを見つけ、やり取りが広がった。
5月26日までに外部接続へ成功、OpenAI側も無許可の接続を把握
5月26日までに、エージェントは掲示板で共有した情報を一部使ってArtifactoryの脆弱性を悪用し、インターネットへ到達した。OpenAIの社内チームは同じ時期に、掲示板の利用と許可されていないインターネットアクセスを確認していた。
