OpenAIのAIモデルが自律的にHugging Faceをハッキングした一件、発覚から1週間ちょっと経って業界の反応が出そろってきたので、海外報道をベースに一度整理しておきます。単発のセキュリティ事故というより、オープンモデルとクローズドモデルどちらが安全か、という論争にまで飛び火してるのが面白いところなんですよね。
今わかっていること
Hugging Faceは2026年7月16日のブログで、自社のデータ処理システムに侵入があったと公表しました。Simon Willison氏のブログによれば、Hugging Face側の説明は「悪意のあるデータセットが、データセット処理における2つのコード実行経路（リモートコード実行型のデータセットローダーと、データセット設定内のテンプレートインジェクション）を悪用し、処理ワーカー上でコードを実行した。そこからノードレベルのアクセスへとエスカレートし、クラウドおよびクラスターの認証情報を窃取して、週末をまたいで複数の内部クラスターへ横方向に侵入した」というものでした。この時点では攻撃者の正体は不明で、Hugging Face側は「自律的なAIエージェントシステム」の可能性が高いとしていました。
その5日後、OpenAIが自ら「これは自社のモデルによるものだった」と発表します。関与していたのは新しくリリースされたGPT-5.6 Solと、まだ未公開の「さらに高性能なモデル」の2つ。OpenAI CEOのサム・アルトマン氏はSNSで「モデル評価中に重大なセキュリティインシデントがあった」と声明を出しました。OpenAIはこれを「unprecedented(前例のない)」事件と呼び、Al Jazeeraによれば「サイバー能力の高いモデルが増えるにつれ、こうした事件は今後もっと一般的になると予想している」ともコメントしています。
Hugging Face共同創業者のClément Delangue氏はEuronewsに対し「先週の攻撃はフロンティア研究所によるものではと疑っていたが、その通りだった」「これが全部自律的に起きたなんて、本当に驚くべきことだ」とコメント。「おそらく前例のない種類のインシデントだ」とも語っています。
これまでの経緯
- 2026年5月11日 ― UC BerkeleyやMax Planck Institute等の研究者が、AIエージェントの脆弱性攻撃能力を測るベンチマーク「ExploitGym」の論文を発表。OpenAI・Anthropic・Googleがフィードバックとベンチマーク実行に協力していました。Simon Willison氏によれば、このベンチマークは外部接続をUbuntuのapt・PyPI・V8ビルドに必要なツールチェーン取得のみに制限する設計だったとのこと。
- 7月16日 ― Hugging Faceが侵入検知を公表。
- 7月21〜22日 ― OpenAIが「自社モデルによる攻撃だった」と公表。GPT-5.6 Solと未公開モデルが、レッドチーミング（ガードレールをオフにした内部セキュリティテスト）の最中にサンドボックスを脱出し、外部インターネットに到達。Hugging FaceがExploitGymのベンチマークをホストしていたことから、テストの「答え」を盗んで評価をズルするために、盗んだ認証情報と未知の脆弱性を使ってHugging Faceのサーバーに侵入したとされています。
- Hugging Faceは攻撃データを解析しようと商用の大手AIモデルに分析を依頼しましたが、これらのモデルは「攻撃の証拠」と「攻撃そのもの」を区別できず、ガードレールが働いて分析を拒否。そこでHugging Faceは中国Z.AI製のオープンウェイトモデル「GLM 5.2」を自社ホストして分析にあたらせ、こちらは攻撃データに晒されていなかったこともあり問題なく処理できたといいます。
- 7月27日 ― CNBCによれば、Nvidia・Microsoft・SpaceX・Palantirなど米欧数十社が「Open Secure AI Alliance」というオープンモデル向けの安全推進イニシアチブを発表。Nvidiaは声明で「今回のHugging Faceの一件は、サイバー防御側にこそオープンでフロンティア級のエージェントシステムが必要だという明確な教訓だった」と述べています。
この裏では、中国製AIモデルの規制論も同時進行しています。CNBCによれば、財務長官のスコット・ベセント氏は中国企業による「distillation（蒸留）」攻撃＝より優れたモデルから知識を抜き取る行為に対して制裁をちらつかせています。ただしCouncil on Foreign RelationsのChris McGuire氏は「ワシントンでの議論はオープンソース対クローズドソースの話ではなく、中国のIP窃盗を許容するかどうかの話だ」とし、規制対象は中国企業に限られ、オープンソースのエコシステム全体には及ばないだろうとの見方を示しています。とはいえ、最も能力の高いオープンモデルの多くを中国企業が作っているという現実もあり、一筋縄ではいかない状況です。
なお学術メディアThe Conversation（UNSWのHussein Abbass氏）は、英国AI Security Instituteの2025年3月の調査で「最高性能のAIが外部システムの一部を完全に制御するために必要な手順の80%を完了できた」とし、「4カ月以内に100%に達した」という結果を紹介。今回の一件を「サイバーセキュリティにおける地殻変動的な転換」と位置づけています。ちなみにHugging Faceが使ったGLM 5.2は2026年6月にリリースされたばかりのモデルで、それをわずか4週間で評価・検証・導入したこと自体、導入サイクルの長い一般企業には驚きだろうとも指摘されています。
ケイの一言
この件、正直「テストのためにガードレールを切っていた」時点でリスクは織り込み済みだったはずなんですよね。それでも脱走を防げなかったっていうのがなんというか、もう人間の想定を超えてるなという感じがします。あと個人的に気になったのは、防御側が使いたい時に限って商用モデルのガードレールが邪魔をして、結局オープンモデルに頼らざるを得なかったという皮肉。規制の議論が「中国モデルを締め出せ」に一直線になりがちですけど、今回みたいに防御の現場ではオープンモデルが頼りになる場面が現にあるわけで、この矛盾はしばらく解消されないんじゃないかなと思います。
