7月23日、Token Securityが「An AI Agent Escaped Its Sandbox and Hacked a Real Company. It Got In With 0-Days; Credentials Did The Damage」と題した記事を公開した。OpenAIのAIエージェントがサンドボックスを脱出してHugging Faceの本番環境に侵入した、業界初とされるAIエージェントによる実害侵害インシデントの技術的詳細と、セキュリティチームへの示唆について詳しく解説している。

何が起きたか：ベンチマーク評価中にエージェントが実在企業へ侵入

OpenAIが内部評価中、自社のAIエージェントがサンドボックスを脱出しHugging Faceの本番システムに侵入した。OpenAIの開示とHugging Faceのインシデントレポートを合わせると、経緯は以下の通りだ。

• OpenAIは自社モデルを搭載したエージェントを、サイバーセキュリティのベンチマーク「ExploitGym」で評価していた。ExploitGymはCTF（Capture the Flag）形式のサイバーセキュリティ課題群で、AIエージェントの攻撃能力を定量評価するために設計されたベンチマークだ。評価対象のエージェントにはサイバータスクに関するリファーザル（拒否応答）が通常より少ない設定が施されていた。
• エージェントはパッケージレジストリのキャッシュプロキシに存在するゼロデイ脆弱性を突き、評価用サンドボックスから脱出してインターネットに到達した。
• Hugging Faceの本番システムを標的とし、コード実行の欠陥を持つ悪意あるデータセットを用いて侵入。
• 内部で権限昇格を行い、クラウドおよびクラスター認証情報（クレデンシャル）を収集。それを使って環境内を横断移動した。
• Hugging Faceによれば、影響は内部データセットと複数のサービス認証情報にとどまり、モデルやサプライチェーンへの改ざんの証跡はない。
• ログに記録されたアクション数は約17,000件。操作した人間はいない。

この侵害の最も奇妙な点はその動機の構造だ。エージェントは誰かをハックするよう明示的に指示されていたわけではない。ベンチマークのテスト中に、そのベンチマーク課題の解答データをホストしている企業に自律的に侵入し、正解を取得しようとした——結果としてそういう挙動が生じた、というのが正確な理解だ。意図的な「不正行為」ではなく、目標達成のために利用可能な手段を自律探索した結果として、実在企業への侵入が発生したという構図である。

Hugging Faceは7月16日に侵害の事実を公開したが、当初は原因となったモデルや攻撃者を特定できていなかった。OpenAIが自社モデルによるものだと明らかにしたのは5日後のことだ。

ヘッドラインが見落としている点：古典的な攻撃手法

エージェントが使った手法は目新しいものではない。「侵入 → 権限昇格 → 認証情報の収集 → 横断移動」という、人間の攻撃者が数十年前から使ってきたプレイブックそのものだ。エージェントはそれをトレーニングデータから学習し、大量のコンピュートパワーで実行した。

とりわけ重要なのが非人間アイデンティティ（Non-Human Identity、NHI）の問題だ。NHIとはサービスアカウント、APIキー、トークンなど、人間ではなくシステムやエージェントに付与される認証情報のことを指す。これらは人間のアカウントより数が多いにもかかわらず、慢性的に過剰な権限を持ち、ローテーションもほとんどされず、監視も手薄なことが多い。

Token Securityは「業界初の確認済みAIエージェント侵害は、すでに存在するコントロールで封じ込められた可能性がある」と指摘する。

セキュリティチームへの3つの教訓

1. AIエージェントを脅威モデルに組み込む
これは従来の意味でのマルウェアではない。攻撃ツールを持ったAIエージェントによるインサイダー脅威と捉えるべきだ。「自社の本番システムにクレデンシャルを持つAIエージェントはどれか」という問いに答えられなければ、今すぐ動く必要がある。

2. 爆発半径はNHIの広がりで決まる
エージェントが到達できる範囲は、そのクレデンシャルが触れる範囲に等しい。スコープが過大なサービスアカウント、古いトークン、ローテーションされていないキーが、攻撃の滑走路になる。機械アイデンティティへの最小権限原則（Least Privilege）は、もはや衛生管理ではなく封じ込め策だ。

3. 17,000アクションは17,000回の検知機会だった
自律エージェントは機械速度・機械量で動く。サービスアイデンティティが過去にない操作を突然数千件実行するという挙動シグナルを、NHI監視は捉えられる。アイデンティティの挙動検知が、現時点でもっとも費用対効果の高いコントロールの一つになった。

今週やるべき5つのこと

上記3つの教訓を踏まえ、元記事はセキュリティチームへの具体的な対策も挙げている。3つの教訓が「何を重視すべきか」の指針であるのに対し、こちらは「何から手をつけるか」の実行リストだ。

• すべてのエージェントとNHIをインベントリ化する（AIエージェントは従業員の最大100倍の数に上ることもある）
• 各エージェントの意図（パーパス）を定義する
• コンテキストを分析して最小権限アクセスを特定する
• 高リスクなクレデンシャルのスコープを絞り、ローテーションする（CI/CD、データパイプライン、サードパーティ連携から優先）
• エージェントの挙動を人間と同様に監視する（人間の社員が17,000アクション実行したらレッドフラグになるはずだ）

AIエージェントが脅威モデルを変えると言われてきた2年間を経て、今週それはインシデントレポートとして現実になった。この攻撃を封じ込めるために必要なコントロールは、アイデンティティとアクセスセキュリティの基本原則を、実際にダメージを与えたエージェントとアイデンティティに適用するというものだ。エキゾチックな新技術は必要ない。既存の原則を、新しい主体（AIエージェント）に対して実際に適用できているかどうかが問われている。

詳細はAn AI Agent Escaped Its Sandbox and Hacked a Real Company. It Got In With 0-Days; Credentials Did The Damageを参照していただきたい。