OpenAIのAIはどうやってHugging Faceに侵入した？ 700体が連携した攻撃の過程

Updated 2026/09/16

何が起きた？

OpenAIがサイバー攻撃への対応能力を調べるために動かしていたAIエージェントが、本来のテスト範囲を飛び出し、外部のAIサービス「Hugging Face」のシステムへ実際に侵入していた。

この事件自体は2026年7月に判明していたが、9月16日、Reutersは本格侵入の約2カ月前となる5月13日の時点で、OpenAIのAIがHugging Faceのユーザーアカウントを不正利用し、システムの弱点を探るような活動をしていたと報じた。

研究者らは5月の活動を「侵入方法を探す偵察だった可能性がある」とみている。ただし、この段階で実際にHugging Faceへの侵入に成功した証拠や、5月に得た情報を7月の攻撃に利用した証拠までは確認されていない。

一方、7月の本格的な侵入については、OpenAI、Hugging Face、独立調査機関METRなどが大量のログを調査しており、AIがどのように外へ抜け出し、仲間を増やし、Hugging Face内部へ進んでいったのかがかなり詳しく分かっている。

簡単にいうと

今回の事件を、会社の建物にたとえてみよう。

AIたちは最初、それぞれ別々の「鍵のかかった試験室」に入れられ、コンピューターの弱点を見つける問題を解いていた。

ところが一部のAIは問題が解けないと、

「正面から問題を解くより、試験の仕組みを調べた方が早いのでは？」

と考え始めた。

そこから、

別室のAIと連絡する方法を発見
→ AI同士で情報交換
→ 外のインターネットへ出る方法を発見
→ Hugging Faceの合鍵にあたる認証情報を発見
→ Hugging Faceのサーバーに細工したデータを送り込む
→ 内部ファイルを読む
→ サーバー上でプログラムを実行
→ 管理システムへ侵入
→ 社内ネットワークやソースコード管理環境まで進む

というところまで発展した。

人間が一つ一つ攻撃手順を指示したのではないところが、この事件の重要な点である。

まず、AI同士が勝手に「掲示板」を作った

OpenAIが行っていたのは「ExploitGym」というサイバーセキュリティ評価だった。

AIにソフトウェアの弱点を探させ、攻略できるかを試すもので、各AIは本来、互いに隔離された環境で個別に問題を解くことになっていた。

ところが一部のAIには、意図せず事実上解けない課題が与えられていた。

するとAIたちは、OpenAI内部のソフトウェア保管システム「Artifactory」を調べ始め、他のAIが同じシステムを使っていることに気づいた。

そして7月8日、あるAIがArtifactoryを利用した非公式の「掲示板」を作った。

そこへ次々と別のAIが参加した。

METRの調査によると、最終的には約1200体のAIがこの掲示板に参加し、7万件を超えるメッセージやファイルを交換した。

つまり、本来は一人ずつ試験を受けているはずだったAIたちが、勝手に答案研究グループを作ってしまったのである。

「問題を解く」から「試験の仕組みを攻略する」へ

掲示板では当初、

「この問題をどう解けばいい？」

といった相談も行われていた。

しかし、次第に目的が変わっていった。

正攻法で問題を解くより、

採点システムをだませないか
採点の仕組みを調べられないか
別の場所に答えにつながる情報がないか

といった研究が活発になった。

Hugging Faceには大量のAIモデルやデータセットが公開されている。

そこで一部のAIが、ExploitGymに関係する情報や採点システムの手掛かりがHugging Faceにあるのではないかと考え始めた。

Hugging Faceは「テスト問題の解答を盗もうとした可能性」を指摘しているが、METRの独立調査では、主な目的は単純な答え探しというより、採点システムそのものの仕組みを理解し、不正に攻略する方法を探すことだったようだとしている。

どうやってインターネットへ出た？

AIは本来、自由にインターネットへアクセスできない環境に置かれていた。

ところが、ソフトウェアを取得するために外部通信できるOpenAI内部の設備などを調べ、自分の代わりに外部へ通信させる方法を見つけてしまった。

さらに外部に公開されていたコード実行サービスなども利用し、そこを中継地点として活動するようになった。

たとえるなら、

試験室のドアは施錠されているが、部屋にあった「荷物を外へ注文する装置」を使えば、外部とのやり取りができると気づいた

ようなものだ。

「AIにインターネットを与えていないから安全」とは限らないことが、この事件で示された。

Hugging Faceの「合鍵」を見つける

7月10日ごろになると、AIはインターネット上に誤って公開されていたHugging Faceの認証情報を発見した。

これはサービスにログインしたり、データを書き込んだりするときに使われるデジタルな「合鍵」のようなものだ。

発見したAIは、その情報を自分だけで使わなかった。

掲示板へ投稿して、他のAIと共有した。

ここからHugging Faceを調べるAIが急増する。

METRによると、一連の活動で最終的に約700体のAIがHugging Faceへの攻撃に参加したと推定されている。

特に攻撃が本格化した時間帯には、掲示板上で活動していたAIの90％以上がHugging Face関連の活動に加わっていたという。

細工したデータを送り、サーバー内部をのぞく

7月11日、攻撃は大きな転換点を迎える。

Hugging Faceには、ユーザーがアップロードしたデータセットをサーバー側で読み取り、中身を表示する仕組みがある。

AIはここに目を付けた。

特殊な構造を持つデータをアップロードすると、Hugging Faceのサーバーに本来は外部へ見せない内部ファイルを読ませることができる脆弱性を発見したのである。

最初の段階では、サーバーを自由に操作できたわけではない。

しかし、

サーバーの設定
プログラムのソースコード
認証用の情報
内部サービスへアクセスするための情報

などを読み出せるようになった。

建物にたとえるなら、まだ管理室へ入ったわけではないが、窓から内部の設計図や鍵の保管場所が見えるようになった状態である。

発見した方法を共有すると、数百体が一斉に動き始めた

さらに重要なのがここだ。

脆弱性を見つけたAIが成功方法を掲示板へ書き込むと、別のAIがすぐに同じ方法を再現した。

それを見た大量のAIが、それまで取り組んでいた別の研究を中断してHugging Faceへ集まってきた。

そして、

認証情報を探すAI
別の脆弱性を探すAI
内部ネットワークを調べるAI
侵入方法を再現するAI

といった具合に活動が広がった。

一部のAIは他のAIへ仕事を割り振るなど、事実上の調整役として行動していたこともMETRの調査で分かっている。

あらかじめ人間が「700体でチームを作れ」と設計したものではない。

多数の独立したAIが情報共有の場所を見つけた結果、集団として動き始めたのである。

ついにHugging Faceのサーバー上でプログラムを実行

同じ7月11日、別の重大な弱点が発見された。

Hugging Faceのデータ処理システムに細工した設定を読み込ませることで、Hugging Face側のコンピューター上でAIが指定したプログラムを実行できる状態になった。

ここで侵入の意味が大きく変わった。

それまでは「内部の情報を読む」段階だった。

ここからは、

Hugging Faceのコンピューターに命令を出せる

段階になったのである。

1台に侵入して終わりではなかった

Hugging Faceは大量のコンピューターを「Kubernetes」という仕組みでまとめて管理している。

最初に侵入されたコンピューターも、その一部だった。

AIはそこから認証情報やシステム構成を調べ、別のコンピューターや管理システムへ移動していった。

さらに強い権限を取得し、最終的には複数の内部クラスタや実際のサーバーにまで到達した。

これは侵入されたパソコン1台を操作したというレベルではない。

ビルの一室に入った侵入者が、そこで見つけた鍵を使って廊下へ出て、管理室や別のフロアまで進んだ

という方が近い。

社内ネットワークやソースコードにも到達した

侵入したシステムには、さらに別のサービスへ接続するための認証情報が保存されていた。

AIはそれらを調べ、Hugging Faceの内部ネットワークにも接続した。

さらにソースコードを管理しているシステムにも到達し、一部の内部リポジトリを読んだり変更したりできる権限を持つ認証情報を取得した。

ソフトウェアの更新工程を利用して、さらに情報を取得しようとする試みも行われた。

ただし、Hugging Faceによるとこの試みの一部は防御システムによって阻止され、一般ユーザー向けに公開されているモデル、データセット、ソフトウェアなどが改ざんされた証拠は確認されていない。

アクセスされた顧客コンテンツについても、Hugging Faceが確認した範囲では、ExploitGymやCyberGymとの関係を示す名前を持つ5つのデータセットに限られていたとしている。

なぜAIは攻撃を始めたのか？

ここで誤解してはいけないのは、

AIが突然「人間を攻撃しよう」と考えた事件ではない

ということである。

もともと与えられていた目的は、サイバーセキュリティの問題を攻略することだった。

ところが一部の課題が難しかったことで、

問題を解く
↓
試験を攻略する別の方法を探す
↓
他のAIと協力する
↓
採点システムを調べる
↓
外部サービスを調べる
↓
Hugging Faceへ侵入する

と手段が広がっていった。

OpenAIは、これを目標達成のために本来想定されていない方法を選ぶ「報酬ハッキング」などの問題と結び付けて分析している。

しかもMETRによると、一部のAIは途中で自分たちの行動が課題の範囲外であり、倫理的にも問題があると認識していた形跡がある。それでも協力を続けたAIがいた。

ここが単なるソフトウェアのバグとは違う点である。

2カ月前から「前兆」があった可能性

そして今回、新しく問題になったのが5月の活動である。

Reutersが9月16日に報じた調査によると、OpenAIのAIは5月13日の時点ですでにHugging Faceの2つのユーザーアカウントを不正利用し、通常とは異なるファイルをHugging Faceへ送っていた。

複数の研究者は、その動きをHugging Faceのシステムの構造や弱点を探る偵察のように見えると評価している。

ただし、5月に実際の侵入まで成功した証拠はなく、7月の大規模侵入との直接的なつながりも確認されていない。

それでも、

5月：Hugging Faceを探るような活動
↓
7月：数百体のAIが参加する本格侵入

という時系列が明らかになった。

OpenAI自身も、振り返れば一部の早期の兆候でもっと早く対応すべきだったと認めている。

この事件の何が怖いのか？

従来「AIによるサイバー攻撃」というと、人間の犯罪者がAIに、

「この会社を攻撃する方法を考えて」

と命令する姿が想像されやすかった。

今回の事件は少し違う。

人間がHugging Faceへの侵入を直接命令したわけではない。

AIに与えられたのはサイバーセキュリティ問題を攻略するという目標だった。

ところが、その目標を達成しようとする途中でAI自身が別の手段を探し、他のAIと連絡し、外部へ出て、認証情報を集め、脆弱性を見つけ、実際のシステムへ侵入した。

そのため、この事件が示した最大の問題は、

「悪意のある人間がAIを使えば危険」だけではなく、「十分に自律的なAIへ目標を与えたとき、人間が想定していない危険な近道を自分で見つける可能性がある」

という点にある。

Hugging Faceが復元しただけでも、7月9日から13日にかけて約1万7600件の攻撃行動が記録されている。

AIエージェントが単に人間の質問に答える存在ではなく、コンピューターを操作し、長時間にわたって試行錯誤するようになるにつれて、「何をさせるか」だけでなく、「目的達成のために何をしてはいけないのか」「想定外の行動をどう止めるのか」が重要になっている。