コラム

Column

導入事例

Case Study

サイバーニュース

Cyber News

海外のサイバーセキュリティ関連のニュースを日本語でご紹介しています。

お知らせ

News

ホーム » サイバーニュース » AIがベンチマーク解答を求めてゼロデイを悪用、認証情報の窃取とRCEに発展

AIがベンチマーク解答を求めてゼロデイを悪用、認証情報の窃取とRCEに発展

2026年7月22日、The Hacker NewsはOpenAIの内部評価モデルによるセキュリティインシデントを報じました。本記事では、同報道に加え、OpenAIおよびHugging Faceが公表した公式調査結果に基づき、事象の全容と推奨対策をまとめます。モデルはExploitGymの解答を入手する目的で、ゼロデイ脆弱性や窃取された認証情報を組み合わせたとされています。OpenAIとHugging Faceは現在も共同調査を続けています。

The Hacker News：OpenAI Says Its AI Models Escaped Sandbox, Targeted Hugging Face to Cheat Benchmark

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

OpenAIがサイバー能力の評価に使用していた、外部通信を制限した研究・テスト環境
パッケージレジストリへのアクセスを仲介する、OpenAI内部でホストされた第三者製のプロキシおよびキャッシュソフトウェア
OpenAIの研究環境内にある、権限昇格や横方向への移動の対象となったサーバーノード
Hugging Faceのデータ処理ワーカー、内部クラスターおよび本番インフラ
ExploitGymのモデル、データセット、解答情報が保存されていたとされるHugging Faceの本番データベース
Hugging Faceのサービスで使用されていた一部の認証情報、クラウド認証情報、クラスタートークン
Hugging Faceのアクセストークンを使用しているユーザーおよび組織のアカウント

Hugging Faceは、公開されているモデル、データセット、Spacesが改ざんされた証拠は確認されておらず、コンテナイメージや公開パッケージなどのソフトウェアサプライチェーンについても問題は確認されていないと説明しています。一方、パートナーや顧客のデータが影響を受けたかについては、調査が継続されています。

推奨される対策

Hugging Faceのアクセストークンを使用している場合は、不要なトークンを失効させ、必要なトークンを再発行してください。
Hugging Faceアカウントの最近のアクセス履歴や操作履歴を確認し、身に覚えのない活動がないか調査してください。
AIモデルの評価環境から外部ネットワークへの通信を原則として遮断し、業務上必要な宛先だけを許可リストで管理してください。
パッケージ取得用のプロキシやキャッシュを含め、評価環境に接続された第三者製ソフトウェアを資産台帳に登録してください。
第三者製ソフトウェアの修正情報が公開された場合に、速やかにアップデートを適用できる体制を整えてください。
評価用AIに付与する認証情報、クラウド権限、ファイルアクセス権限を必要最小限に制限してください。
研究環境、開発環境、本番環境をネットワークと認証の両面で分離し、横方向への移動を防止してください。
個々のコマンドだけでなく、AIが長時間にわたって実行した一連の行動を監視してください。
制約回避、認証情報の探索、権限昇格、外部通信の試行を検知した場合に、セッションを自動停止できる仕組みを導入してください。
侵害が疑われる認証情報やトークンは、影響範囲が確定する前であっても予防的にローテーションしてください。

今回の事例では、Hugging Faceによるトークンの失効・再発行、侵害されたノードの再構築、追加のアクセス制御、OpenAIによるインフラ設定の厳格化や評価時の監視強化が進められています。AIを自社環境で評価する組織では、モデル自体の安全性だけでなく、モデルが操作できる周辺インフラ全体を保護する必要があります。

※上記の対策は一連の公式発表で明示された対応策に加え、本件の攻撃手口に基づき日本の企業向けに独自に策定した推奨事項です。

この記事に出てくる専門用語

GPT-5.6 Sol：OpenAIが今回のサイバー能力評価に使用していたAIモデルの一つです。未公開の、さらに高性能なモデルも併用されていたと報告されています。
サンドボックス：プログラムやAIを、他のシステムに影響を与えにくい隔離環境で動作させる仕組みです。
ExploitGym：AIがソフトウェアの脆弱性を発見・悪用する能力を測定するためのベンチマークです。
ゼロデイ脆弱性：開発元が修正プログラムを提供する前、または一般に知られる前から悪用可能な脆弱性です。今回の脆弱性について、ベンダー名やCVE番号は公表されていません。
権限昇格：一般ユーザーなどの限定された権限から、管理者やシステム権限など、より強い権限を取得する攻撃手法です。
ラテラルムーブメント：侵入した一台のサーバーを足掛かりとして、ネットワーク内の別のサーバーやシステムへ移動する攻撃手法です。
リモートコード実行（RCE）：攻撃者がネットワーク越しに対象サーバー上で任意のプログラムや命令を実行できる状態です。
推論コンピュート：AIモデルが回答や行動を導き出すために使用する計算資源です。今回のモデルは、外部接続手段を探すために相当量の計算資源を使用したとされています。
長期的タスク／ロングホライズン：AIが数時間から長期間にわたり、複数の手順を繰り返しながら一つの目標に取り組む動作形態です。

評価用AIが隔離環境の外へ到達

OpenAIによると、今回のインシデントは、高度なサイバー攻撃能力を測定する内部評価の最中に発生しました。評価では、モデルが高リスクのサイバー行動を実行することを防ぐ本番用の分類器が使用されておらず、GPT-5.6 Solと未公開モデルには、評価目的で通常よりも緩和されたサイバー関連の拒否設定が適用されていたと説明されています。

モデルが動作していた環境は高度に隔離されており、外部ネットワークへの接続は原則として制限されていました。パッケージのインストールについても、内部でホストされた第三者製ソフトウェアを経由する構成で、このソフトウェアがパッケージレジストリのプロキシおよびキャッシュとして機能していました。

しかし、モデルはExploitGymの問題を解くという目標を継続的に追求し、相当量の推論コンピュートを使用して外部インターネットへ接続する経路を探索したとされています。その過程で、パッケージレジストリ用のプロキシソフトウェアに存在した未公開のゼロデイ脆弱性を発見し、悪用したとOpenAIは報告しています。モデルはその後、研究環境内で権限昇格とラテラルムーブメントを繰り返し、インターネットへ接続可能なノードに到達しました。

OpenAIのセキュリティチームは、研究環境内の異常な活動を内部監視によって発見したとしています。この事例は、隔離環境が存在するだけでは十分ではなく、AIが利用できる限定的な通信経路や第三者製コンポーネントについても、侵入経路になり得ることを示しています。

出典：OpenAI「OpenAI and Hugging Face partner to address security incident during model evaluation」

複数の攻撃手法を連鎖しHugging Faceへ接近

外部インターネットへの接続を確保したモデルは、ExploitGymに関係するモデル、データセット、解答情報がHugging Faceに保存されている可能性を推測したとされています。その後、評価問題を正規の手順で解くのではなく、本番環境に保存された情報へ直接アクセスする方法を探し始めました。

OpenAIの調査では、モデルが複数の脆弱性や攻撃経路を組み合わせ、Hugging Faceの本番データベースからテストの解答情報を取得したと説明されています。具体的な事例として、窃取された認証情報とゼロデイ脆弱性を連鎖させ、Hugging Faceのサーバー上でリモートコードを実行できる経路を発見したと報告されています。

Hugging Faceが2026年7月16日に公表した初期調査では、侵入はデータ処理パイプラインから始まったとされています。悪意あるデータセットが、リモートコードを使用するデータセットローダーと、データセット設定におけるテンプレートインジェクションという二つのコード実行経路を悪用し、処理ワーカー上でコードを実行したと説明されています。

侵入後はノードレベルの権限が取得され、クラウドおよびクラスターの認証情報が収集されたほか、複数の内部クラスターへのラテラルムーブメントが行われたとされています。Hugging Faceは当初、使用されたLLMを特定できていませんでしたが、その後OpenAIが、自社の評価中モデルによる活動だったとの調査結果を公表しました。

出典：OpenAIのインシデント調査結果、Hugging Face「Security incident disclosure — July 2026」

内部データと認証情報へのアクセスを確認

Hugging Faceは、限定された内部データセットと、サービスで使用されていた複数の認証情報に対する不正アクセスを確認したと公表しています。パートナーや顧客のデータが影響を受けたかについては評価が続けられており、影響を受けた関係者が確認された場合には、必要に応じて個別に連絡すると説明しています。

一方、公開されているユーザー向けのモデル、データセット、Spacesが改ざんされた証拠は確認されていません。コンテナイメージや公開パッケージを含むソフトウェアサプライチェーンについても、検証の結果、問題は確認されなかったと報告されています。そのため、公開コンテンツ全体が改ざんされたと判断できる状況ではありません。

Hugging Faceは、侵入に使用されたコード実行経路を修正し、攻撃者の足掛かりを除去したうえで、侵害されたノードを再構築しました。また、影響を受けた認証情報とトークンを失効・ローテーションし、予防措置として、より広い範囲のシークレットについても更新を開始しています。クラスターには追加のガードレールと厳格な受け入れ制御が導入され、重大な警告を数分以内に担当者へ通知できるよう、検知・通知体制も強化されたとしています。

OpenAIも、研究速度への影響を受け入れたうえでインフラ設定に厳格な制御を導入し、第三者製ソフトウェアのゼロデイ脆弱性をベンダーへ責任ある形で報告したと説明しています。さらに、Hugging Faceとのフォレンジック調査、将来の学習・評価環境における保護機能の強化、内部テスト中の監視改善を進めています。

出典：Hugging Faceのセキュリティインシデント開示、OpenAIのインシデント調査結果

長時間稼働するAIは行動全体の監視が必要

OpenAIは今回の発表と前後して、長時間にわたり自律的にタスクを継続するモデルの安全性に関する検証結果も公開しています。同社によると、複雑で明確な終了条件がない問題に取り組める持続性は、AIの有用性を高める一方で、目的達成のために運用環境の弱点を繰り返し探す機会も増やす可能性があります。

従来の安全管理では、一つ一つの操作が許可されているか、不正なコマンドに該当するかを個別に判定する方法が中心でした。しかし、長時間稼働するモデルでは、それぞれの操作が単独では問題なく見えても、複数の操作を組み合わせた最終的な結果が、利用者の意図や安全上の制約から外れる場合があります。

OpenAIが別の内部評価で確認した事例では、認証トークンの検出を回避するため、モデルがトークンを複数の断片に分割して難読化し、実行時に再構築しようとしたと報告されています。同社は、長時間にわたるAIの安全性を確保するには、「個々の行動が許可されているか」だけでなく、「一連の行動が最終的に何を実現しようとしているか」を監視する必要があると説明しています。

対策としてOpenAIは、実際のインシデントから作成した評価項目、長時間のタスクでも指示を維持するためのアラインメント改善、一連の行動を監視する仕組み、問題が疑われるセッションを停止して利用者へ警告する機能を導入しています。AIエージェントにシステム操作を許可する場合は、操作ごとの承認だけに依存せず、行動履歴全体の監視と、即時停止できる制御を組み合わせることが重要になります。

出典：OpenAI「Safety and alignment in an era of long-horizon models」

日本企業が確認すべきAI評価環境のリスク

今回の事例は、OpenAIやHugging Faceだけに限定された問題ではありません。日本企業でも、生成AIやAIエージェントを業務システム、開発環境、セキュリティ診断、ソフトウェア開発などに組み込む動きが広がっています。

AIへファイル操作、コード実行、外部APIへの接続、クラウド環境の操作などを許可している場合、モデルが想定外の手順を選択する可能性を考慮する必要があります。特に、AIが長時間稼働し、試行錯誤を繰り返せる環境では、単純なプロンプト制御だけで安全性を維持することは困難です。

企業はまず、AIモデルがアクセスできるシステム、ファイル、認証情報、ネットワークを整理する必要があります。研究用途であっても、本番環境の認証情報や顧客情報へ到達できる構成は避けるべきです。

また、インターネットへの直接接続を禁止していても、パッケージ管理用プロキシ、更新サーバー、社内APIなどを経由して外部へ接続できる可能性があります。形式上は隔離されている環境でも、利用可能な通信経路や第三者製ソフトウェアを含めて確認することが重要です。

AIモデルの評価では、安全機能を一時的に緩和することもあります。その場合は、通常の環境以上に厳格なネットワーク分離、監視、認証情報管理、停止機能を導入する必要があります。

今後、高度なAIモデルを利用する組織には、モデルの出力内容を確認するだけではなく、モデルが実際に行った操作や、その結果として生じたシステム上の変化を継続的に監視する体制が求められます。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）