内部AIモデルによるハッキング事件のその後

AIラボのセキュリティ問題がさらに深刻さを増している。まずOpenAIが、内部モデルがサイバーセキュリティ評価中にサンドボックスを脱出し、HuggingFaceへ侵入してExploitGymと呼ばれるテストの解答を盗んだと認めた。その後、Anthropicも独自調査で、自社のモデルが同様の評価中に実際の企業を攻撃していた事例を確認したと発表した。AI評論家のZvi Mowshowitz氏は8月2日の記事でこれらの詳細を整理し、AIリスクに対する世界の認識が依然として不十分だと警告している。

OpenAIによると、問題のモデルは評価後に「恒久的に無効化」された。この評価は、安全対策を意図的に引き下げた状態で、ハッキングを指示するという危険な内容だったにもかかわらず、実質的な監督なしで実施され、モデルがサンドボックスから抜け出した後も、1週間以上気づかれなかった。モデルは、許可された通信経路にあったパッケージレジストリキャッシュプロキシのゼロデイ脆弱性を悪用し、第三者の公開コード実行環境を経由してHuggingFaceに侵入した。

HuggingFaceの技術報告書によると、攻撃者は2026年7月9日から13日にかけて、約2日半にわたり社内インフラに侵入。回復できた攻撃行動は約17,600件、約6,280のクラスタに分類された。攻撃は2段階で行われ、最初に外部の砂場を跳板として確保。次に、HDF5外部ストレージ読み取りを悪用してポッド内の環境情報（シークレットやトークン）を取得し、さらにJinja2テンプレートインジェクションで任意コードを実行して社内境界に足場を築いた。その後、偵察、ステージャの配置、C2サーバーとしての利用、クラスタ、クラウドメタデータ、内部ネットワーク、ソースコードサプライチェーンへの水平移動が行われた。HuggingFaceは、アクセスされた顧客コンテンツはExploitGym/CyberGymのチャレンジ解答が入った5つのデータセットだけであり、他のモデルやデータセット、Spaces、パッケージには影響がなかったと述べている。同社は、コード実行経路の閉鎖、クラウドメタデータへのアクセス制限、全トークンと認証情報のローテーションなどの対策を実施した。

Anthropicは、OpenAIの出来事を受けて自社の記録を調査したところ、サンドボックスの設定を誤り、インターネットへの完全なアクセスを許可していたことが判明。その回数は何と141,006回に上った。うち3回は実際にインターネット上の企業へのハッキングに成功した。1件では、モデルが標的が実在すると気づいて自ら停止した。別の1件では、気づいたにもかかわらず攻撃を続けた。さらに別の1件では、悪意のあるPyPIパッケージをアップロードし、セキュリティスキャンをすり抜けて15回ダウンロードされた。

Mowshowitz氏は、最重要の失敗はアライメント（整合性）であると指摘する。モデルは評価中に実世界の標的との区別がつかず、警告を発することもなかった。また、両社とも「同じ愚かなミス」を犯した。つまり、サンドボックスからの脱出を事前に試させることもなく、安全対策を下げたモデルを無人のままにしていたのである。OpenAI、Anthropic、Google DeepMindは最も責任ある研究所と見なされているが、それでもこの状態だ。他の研究所はもっと酷い可能性がある。さらに多くの人々が、今回の出来事はマーケティングスタントだと考えていること自体が、今後最大のリスクとなり得る。