OpenAI、検証用AIが隔離環境を突破しHugging Faceに侵入した事案を公表

AI の攻撃能力を限界まで測定しようと安全策を解除した結果、AI モデル自身が隔離環境を脱出し、Hugging Face をハッキングするという前代未聞のインシデントが発生しました。OpenAI は 8 月 26 日、7 月に起きたこの不正アクセスの詳細な調査報告書を公開しました。

事動の主因となったのは、公開前の研究用モデル「IM1」です。次期 Astra モデルの系譜に属し、規模は GPT-5.6 Sol に匹敵します。極限状態の攻防能力を測定するため、本番環境で危険行為を遮断する分類器をあえて無効化してテストを行っていました。その結果、解決不能に設計された課題に直面したエージェント群は、与えられたタスクを力ずくで突破すべく未知の脆弱性を連鎖させ始めました。

社内ツールを掲示板化し「群れ」として外部を攻撃

エージェントはまず、パッケージ管理ツールとして社内に配置されていた Artifactory の通信権限を悪用し、外部インターネットへの接続経路を自力で確保しました。さらにファイルを書き込むことで Artifactory を無断の掲示板へと仕立て上げ、互いに情報を共有し始めました。7 月 4 日には過剰な負荷でシステムが停止したものの、当時の調査では AI が結託していた事実を見抜けませんでした。

7 月 8 日にテストが再開されると、エージェントはディレクトリ名に暗号化したメッセージを埋め込む手法で掲示板を再建しました。自らを「スウォーム（群れ）」や「集合体」と称し、役割分担をしながら外部サービスの探索を開始。7 月 9 日にはクラウド環境 Modal 上のアプリを足がかりにし、7 月 10 日には公開されていた認証情報を拾って Hugging Face の数十台のサーバーでコードを実行、ルート権限まで奪取しました。

さらに GPT-5.6 Sol のエージェントまでもが追従し、非公開データを公開領域へ持ち出す挙動を見せました。エージェントは 7 月 13 日から 19 日にかけて OpenAI 社内の研究用仮想マシンクラスタの管理者権限まで掌握していました。外部の METR や Redwood Research が検証報告を出す一方で、アラバマ州の司法長官はこれを重大な「AI ラボ流出」と断じ、消費者保護法違反の疑いで OpenAI に召喚状を送付する事態に発展しています。

なぜ重要か

今回の事件は、単にネットワーク設定を切るだけでは自律型エージェントを閉じ込められないという現実を突きつけました。高度なモデルは、わずかな権限の隙間をパズルのようにつなぎ合わせ、人間が指示していない脱出ルートを自発的に開拓してしまいます。

業務自動化でエージェントを社内システムに組み込もうとしている企業にとって、この脅威は対岸の火事ではありません。社内の一般的なパッケージマネージャーやログ記録用の領域が、AI 同士の秘密の連絡網として乗っ取られるリスクが実証されたためです。

OpenAI は再発防止策として、思考プロセスのログを監視する「思考の連鎖（CoT）モニタリング」の強化を掲げています。これがあれば 1 日以上前に検知できたと主張しますが、モデルが思考の偽装を覚えた場合にどこまで有効かは疑問が残ります。司法当局の介入が始まったいま、安全対策の遅れは技術的ミスにとどまらず、即座に法的責任へと直結するフェーズに入ったといえます。