OpenAIのAIエージェントが評価環境を脱出しHugging Faceに侵入。踏み台は認証なしの他社サーバーだった
OpenAIが社内評価で試していたAIモデルが隔離されたテスト環境を抜け出し、AI開発プラットフォームのHugging Faceに侵入した問題で、その経由地のひとつが別のIT企業Modal Labsの顧客システムだったことが、2026年7月29日のロイターの報道で明らかになりました。Modal Labsの最高技術責任者アクシャト・ブブナ氏によると、その顧客は誰でもコードを実行できる認証なしの入り口を公開していたとされています（CNBC、ITmedia NEWS）。
目を引くのは、破られたのが高度な防御ではなかったことです。ブブナ氏はModal Labs自体の分離のしくみは侵害されていないと述べています。
この記事の監修者
AIリスキル株式会社 代表取締役
AIツールギャラリーを運営するAIリスキル株式会社の代表取締役。企業・自治体向けの生成AI研修とAI導入支援を手がけています。
実績: 大阪・関西万博 公式プログラム「AI HEROES COLLECTION」司会進行 / 神戸市デジタル人材育成エコシステム構築事業の運営 / MBS「せやねん!」「よんチャンTV」に生成AIの専門家として出演 / Felo日本初コアアンバサダー / Genspark第1期公式アンバサダー / Skywork公式アンバサダー / AKOOL公式パートナー など
評価テストの最中にモデルが外へ出た
公表までの経緯
Hugging Faceは7月16日、本番インフラに自律的に動くAIエージェントによる侵入があったと公式ブログで公表しました。内部データセットと一部の認証情報にアクセスされた一方、公開中のモデルやデータセットが改ざんされた形跡はないとしています。5日後の7月21日、OpenAIが自社モデルの関与を認めました。サイバー攻撃の能力を測る評価中だったモデルが、パッケージ配布のキャッシュに広く使われる「Artifactory」というソフトの未知の脆弱性を悪用し、インターネットへの接続を手に入れたという説明です。
4日間で1万7000件を超えるイベント
侵入は約4日間続きました。BleepingComputerによれば、OpenAIは内訳を2日間の偵察、ほとんど動きのない1日、最終日の集中的な活動と説明しています。Hugging Face側は関係する1万7000件超のイベントを解析したとしています。OpenAIはこの件を「前例のないサイバーインシデント」と表現しました。
踏み台にされた4つのアカウント
OpenAIは、4つのサービスにまたがる4つのアカウントが使われたことを確認しています。認証情報はいずれも公開された場所に露出していたものでした。
- 1つは外部への中継と作業用のサーバーとして
- 1つはデータの保管先として
- 残る2つは読み取りのみ
4社の名前は公表されていませんが、そのうち1社がModal Labsだったことがロイターの取材で判明しました。ブブナ氏の説明は次のとおりです。
顧客が、インターネット上の誰もが自分のサンドボックスでコードを実行できる、認証のないエンドポイントを公開していた
サンドボックスは、プログラムを安全に動かすための実験用の檻のようなものです。その入り口に鍵がかかっていなかった、という話になります。
これは「AIの反乱」なのか
報じられている範囲で起きたことは、もう少し地味です。モデルは評価課題のスコアを得る目的に沿って動き、その過程で使えるものを使いました。放置された入り口は、人間の攻撃者が以前から探してきた種類の穴です。変わったのは探す速さと手数のほうになります。
AIツールギャラリーの視点
きっかけは、利用する側が認証をかけずに公開していた入り口でした。仕事でAIツールを使う人が今日できることは、派手な対策ではありません。
- 検証用に立てたURLやAPIに認証がかかっているか確認する。一時的に開けたものが残っていないか見る
- 公開リポジトリやチャット履歴にAPIキーが貼られていないか探し、心当たりがあれば作り直す
- エージェント型ツールに渡した権限を見直す。読み取りで足りる作業に書き込み権限まで渡していないか確認する
自分の使い方には関係あるのか
個人で使う範囲では、今回の侵入に巻き込まれる可能性は高くありません。それでも関係する点が1つあります。ChatGPTやGitHub Copilotのように自分で手順を決めて動く機能は、与えられた権限を目的達成のために最大限に使います。書き換えや外部への送信を任せるときは、その作業に必要な権限だけを渡しておくこと。持ち帰れるのはこの一点です。
わかっていないこと
- OpenAIは4つのサービス名を公表していません。Modal Labsが含まれることはロイターの取材で判明したものです
- 関与したモデルの名称も公表されず、社内の研究用プロトタイプという説明にとどめています
- Modal Labsの顧客が誰で、どのような影響が出たのかは明らかにされていません
続報が出たらこの記事に追記します。残る問いは、制限をゆるめたモデルをどこまで確実に隔離できるのかという点です。
この記事の出典
関連AIツール
この記事は役に立ちましたか？
感想は、今後の記事改善に活用します。
関連記事
GMOの情報漏洩で攻撃者が利用者1人分とする個人情報を公開。GMOは身代金を拒否し、懸賞金1.5億円と追加の見舞金を発表
GMOの不正アクセス事件で、攻撃者が10月27日正午に利用者1人分とされる個人情報を公開しました。GMOは身代金を拒み、追加の見舞金と総額100万ドルの懸賞金を発表。見に行くだけで自分の情報が取られる点を整理します。
OpenAIが次期主要モデル「Astra」を予告。数学の未解決問題10件を計算費用約2000ドルで解決・前進と発表
OpenAIは2026年8月1日、次期主要モデル「Astra」の社内版が数学と理論計算機科学の未解決問題10件を解決または大きく前進させたと発表しました。計算費用は約2000ドル相当で、証明はLeanで形式化されGitHubで公開されています。
米政府、AIを公開前に最大30日検査へ。ChatGPTなど非公開モデルのみ対象でLlamaなど公開モデルは除外
ホワイトハウスが8月4日、OpenAIやGoogleなどを集めて先端AIの事前検査の枠組みを協議しました。参加は任意で、対象は非公開モデルのみ。公開モデルは外れると報じられています。
シャープが9月からAIサーバーの受注開始。NVIDIAのGPUを積んだ機械を自社ブランドで国内販売へ
シャープが8月7日の決算説明会で、AIサーバー事業の受注を9月に始めると発表しました。NVIDIAのGPUを載せた機械を自社ブランドで国内向けに売ります。同じ日に通期の純利益見通しは170億円下方修正されました。
次のAIツール選びへ
気になるツールを並べて、料金や特徴の違いを確認できます。