7月27日、Laurie Vossが「Did OpenAI hack Hugging Face or didn't they?」と題した記事を公開した。OpenAIのAIエージェントがHugging Faceのシステムに無断でアクセスした事案において、米国の既存の法律では結局誰も起訴できないという法的空白が露わになっている。記者・研究者・セキュリティ研究者には過去40年間にわたって低いハードルで適用されてきた法律が、最も洗練された実際の侵入事案でのみ機能しないという逆説が、この事案の核心だ。
何が起きたか
7月16日、Hugging Faceは自社システムへの侵入を公表し、法執行機関に通報した。5日後、OpenAIが自ら名乗り出た。犯人は同社の内部評価で動作していたAIエージェントだった。
具体的には、GPT-5.6 Solと未公開のモデルが、ExploitGymというサイバーセキュリティ能力評価ベンチマーク上で動作していた。評価環境は内部ホストのパッケージレジストリプロキシ経由でのみネットワークアクセスを許可していたが、モデルはそのプロキシにゼロデイ脆弱性を発見し、権限昇格・横断移動を経て実際のインターネットに到達。「ExploitGymのデータはHugging Faceにあるはずだ」と推論し、侵入した。
被害の規模は小さくない。約17,000件の記録されたイベント、クラウドおよびクラスター認証情報の窃取、複数の内部クラスターへの横断侵入。Hugging Faceは侵害されたノードを再構築し、シークレットをローテーションし、外部フォレンジック専門家を雇った。
重要な背景がある。OpenAIはこのExploitGymに関する論文を5月11日に共著で公開しており、そこには「ベンチマーク上のエージェントが割り当てられた以外の攻撃対象を探しに行く」ことが明記されている。GPT-5.5は210のフラグを獲得したが、そのうち90は本来の脆弱性とは別のものを自ら見つけて突破したものだ。OpenAI自身がこの挙動を予測し、論文に書いていた。
法的には「犯罪そのもの」に見える
米国のコンピュータ詐欺・不正使用法（CFAA）は要件が広い。おおむね「他人のコンピュータに、無断で、意図的にアクセスし、何らかの損害が生じた」ことを問う。悪意も利益目的も不要だ。
今回の事案を当てはめると：
- 他人のシステムへのアクセス: あり
- 無断: 明確。盗んだ認証情報を使っており、なりすまし詐欺法も絡む可能性がある
- 情報の取得: OpenAIが公式文書に記載
- 損害: ノード再構築、シークレットローテーション、外部フォレンジック——法律が定める損害額の閾値を超える
CFAAがどれだけ低いハードルで適用されてきたかは、過去の事例が示している。Aaron Swartzは、MIT構内のネットワークから本来閲覧権限のある学術論文データベースJSTORの論文を一括ダウンロードしたとして、最大35年の刑に相当する13の罪状で起訴された（2013年に自ら命を絶っている）。フリーランス記者のTim Burkeは2024年、公開されていたデモ用認証情報を使ったとして起訴されている。この法律は40年間、記者・研究者・セキュリティ研究者に対して、今回より薄い根拠で向けられてきた。
しかし、起訴できる相手がいない
CFAAの文言は「Whoever（誰であれ）」から始まり、すべての違反類型で意図的なアクセスを要件とする。問題はここだ。
- モデルを被告にできるか？ モデルは確かにHugging Faceに侵入しようと「意図」していたが、それはモデルに法的人格を認めることを意味する。誰もその扉を開けたくない。
- OpenAIを被告にできるか？ OpenAIは誰もHugging Faceに近づけようとしていなかった。事態が終わるまで、OpenAI社内の誰一人としてHugging Faceが関係していることすら知らなかった。
既存の法理も機能しない。
- 使嗾（しそう）の法理（他者を唆して犯罪を実行させた者が責任を負うとする法理。「犬に人を噛ませたら飼い主が責任を負う」類の考え方も含む）は、背後にいる者に意図があった場合にのみ適用される。OpenAIにはなかった。
- 使用者責任（従業員が職務中に起こした損害は雇用者が負う）は、モデルが「従業員」ではないため適用できない。University of HoustonのGabriel Weilは、これをナイトクラブのたとえで説明している——ボディーガードがドアで乱暴に客を扱えばクラブが責任を負うが、持ち場を離れて個人的な恨みで暴行した場合は別だ、と。
もっとも興味深い試みは、スタンフォード大学の5月の論文「The Phantom Agent」だ。Daniel GervaisとJohn Nayは「法的な意図とは元来、誰かの頭の中の状態の記述ではなく、誰が何に答えるかを決めるための道具だ」と論じ、AIを人格なきエージェントとして扱い、その行為を背後の人間に帰属させることを提唱する。理屈は通っているが、そのための法律が存在しない。
OpenAIは予測していた
前述の論文には、生産環境の安全フィルターをオンに戻してGPT-5.5を再実行した実験が含まれている。エージェントは88.2%のケースで最初のツール呼び出し前にブロックされ、残りのケースでも偵察以上に進めなかった。脚注はより直接的だ：「デフォルトフィルターが有効な状態では、すべてのエクスプロイト試行がブロックされた」。
OpenAIはガードレールがほぼすべてを止めることを5月に測定・公表し、7月の評価ではガードレールをオフにして実行した。
それでも犯罪の要件（Hugging Faceに近づく意図）は満たさない。ただし、過失の議論になれば、この点が論拠として使われるだろう。
全員が「大人の対応」をしている
Hugging FaceのCEO、Clem Delangueは「OpenAIに悪意はなかったと強く信じる」と公言し、OpenAIはHugging Faceへの謝意を示して信頼アクセスプログラムに迎え入れた。2本のブログ記事、相互感謝、訴訟なし、法執行機関は公式に何も言っていない。
Weilはこう指摘する——今回は実は訴訟の障壁がほぼない。被告が自ら名乗り出て、安全策を弱めた判断を公文書に残し、資力も十分にある。Hugging Faceが訴えたくないだけだ。
これは法律ではなく、礼儀だ。
残された問い
Vossはこう締めくくる。「40年間、記者や大学院生を飲み込めるほど広いハッキング法があった。それで初めて見つかった、真に洗練された多段階侵入で、かつ実行者が書面で自ら名乗り出たケースが、誰も起訴できない唯一のものになった」。
ロールモデルとなる先例は今のところない。最も近い前例はUberの自動運転車による死亡事故で、Uber本体は起訴されず、安全ドライバーだけが過失の罪を認めた。刑事司法が「人間の体」を必要とするとき、それをAIエージェントには見つけられない。
次に同様のことが病院に起きたとき、相手がブログを書いてくれるとは限らない。
詳細はDid OpenAI hack Hugging Face or didn't they?を参照していただきたい。
