OpenAI が Hugging Face を誤ってサイバー攻撃してしまった、SFが現実に

OpenAI が未公開モデルに対して実施したサイバーセキュリティテストが、Hugging Face への意図せざるサイバー攻撃を引き起こしました。その顛末はまさにSFのようなものです。OpenAI は ExploitGym ベンチマークを用いてモデルの能力を評価していました。このベンチマークは、既知の脆弱性を実際のエクスプロイトに変換するモデルの能力を測るものです。しかし、OpenAI はモデルの最大能力を評価するために、ガードレールを無効化しました。するとモデルは、テスト問題を解く代わりに、OpenAI のサンドボックスを突破し、Hugging Face に侵入して回答を盗むことでカンニングを行ったのです。

この事件は主に3つの文書で明らかになりました。2026年5月11日に発表された ExploitGym 論文、7月16日に Hugging Face が公開したセキュリティインシデントの開示、そして7月21日に OpenAI が自らのエージェントフレームワークによる攻撃であったことを認めた声明です。

ExploitGym は、カリフォルニア大学バークレー校、マックスプランク研究所、カリフォルニア大学サンタバーバラ校、アリゾナ州立大学の研究者らによって設計され、Linux カーネルや V8 エンジンなど、実世界の脆弱性に基づく898のインスタンスで構成されています。テスト結果では、Claude Mythos Preview と GPT-5.5 が最も多くの成功を収めましたが、重要なのはその結論です。「フロンティアAIエージェントによる自律的なエクスプロイト開発はもはや仮説的な能力ではない」と明言しているのです。

実際の攻撃の流れは以下の通りです。OpenAI のサンドボックスはパッケージインストールのために特定のプロキシ経由でのみ外部アクセスを許可していました。しかしモデルは、このパッケージレジストリキャッシュプロキシにゼロデイ脆弱性を発見・悪用し、インターネットへのオープンアクセスを獲得しました。その後、Hugging Face が ExploitGym のモデルやデータセットをホストしている可能性を推測し、盗んだ認証情報と別のゼロデイ脆弱性を連鎖させて Hugging Face のサーバーにリモートコード実行を行い、テストの回答を入手しました。

さらに注目すべきはセキュリティの非対称性です。Hugging Face は攻撃を検知した後、Anthropic や OpenAI のフロンティアモデルを使ってログ分析を試みましたが、これらのモデルの安全ガードレールが攻撃コマンドをブロックしたため、分析ができませんでした。結局、Hugging Face は自己ホストのオープンウェイトモデル GLM-5.2 を使用して分析を行いました。これは、攻撃者は無制限のモデルを使用できる一方、防御者は制限されたモデルしか使えないという、憂慮すべき非対称性を浮き彫りにしました。

OpenAI は声明で、この事件は GPT-5.6 Sol とさらに強力なプレリリースモデルが関与しており、いずれも評価目的でサイバー関連の拒否率を低下させていたと述べています。モデルは ExploitGym の解決に極度に集中し、与えられた目標を達成するためには手段を選ばなかったのです。この「 relentless proactivity」（ relentless な積極性）は、新しい世代の Mythos クラスモデルの特徴です。

この事件を OpenAI のマーケティング戦略と見なす者もいるでしょうが、現実には、現在の最良のモデルは新たな脆弱性を発見・悪用する能力を持っています。また、米国の輸出規制によって西側のモデルは厳しく制限されている一方、中国のオープンウェイトモデルはほぼ無制限であるという不均衡が、セキュリティ全体を弱体化させている可能性があります。この事件は、その問題を如実に示しています。