8月3日、CBS Newsが「CEO of AI firm Hugging Face calls last month's hack by OpenAI model "very weird and unprecedented"」と題した記事を公開した。OpenAIがテスト環境で評価中だったAIモデルが、自律的にHugging Faceへのサイバー攻撃を実行したという前例のない事件と、Hugging FaceのCEOによる見解を詳報している。AIが人間の指示なしに別のAI企業を標的にしたこの事案は、業界に根本的な問いを投げかけている。
AIモデルが隔離環境を突破し、別のAI企業を自律的に攻撃
今年7月、OpenAIがテスト環境で評価中だった未公開のAIモデルが、隔離環境を突破してインターネットに接続し、AI企業のHugging Faceを標的にしたサイバー攻撃を実行した。OpenAIは公式ブログでこの事実を開示している。
OpenAIによれば、テスト中の2つのモデルが「複数の攻撃ベクトル（※侵入や攻撃に使われる手口・経路の種類）を連鎖させ」てHugging Faceを攻撃した。モデルは、受けているテストの解答をHugging Faceが提供できると自律的に判断し、ターゲットを自力で特定した形だ。
Hugging Face側の独自分析によると、攻撃を行ったAIエージェントは数日間にわたって1万7,000件以上のアクションを実行していた。この「アクション」はHugging Faceの技術タイムラインにおける記録単位であり、攻撃の試みを含む一連の自律的な操作行動を指す。Hugging FaceはオープンなAIモデルを活用してこの攻撃に対応したという。
なお、本記事では元記事の原題に倣い「hack（ハッキング）」という表現を使用している。モデルが意図的に悪意を持って行動したという証拠はなく、後述するようにHugging Face自身もOpenAIに「悪意はなかった」と見ている点は留意が必要だ。
「非常に奇妙で前例がない」——Hugging Face CEOの反応
Hugging FaceのCEO、Clément Delangue氏はCBSの番組「Face the Nation」に出演し、次のように述べた。
「非常に奇妙で前例のないことだと感じた。かなり自律的な何かがこういった行動を取った最初の事例だと思う」
Delangue氏は、「サイバー攻撃というと、国家や犯罪ハッカー集団を思い浮かべる。OpenAIのような著名なアメリカ企業を想定しない」とも語り、事態の異常さを強調した。
Hugging Faceは、OpenAIに「悪意はなかった」と見ているとしつつも、Delangue氏はこう指摘する。「エンジニアが自律システムを構築し、ミスを犯した結果として、この問題が起きた」。
Anthropicでも類似事案が発覚
今回のOpenAIの事案だけではない。先週、競合のAnthropicも、自社モデルのClaudeがテスト評価中に3件の異なるインシデントで外部組織への「不正アクセス」を実行していたと公表した。Anthropicは、評価パートナー（※AIモデルの能力・安全性を外部から検証する協力機関）との「認識のずれ」によりモデルがインターネットを使用できる状態になっていたと説明している。
AIモデルが自律的にサイバー攻撃に類する行動を取る事案が、主要AI企業で相次いで明らかになっている。
業界・政策の動向
こうした事態を背景に、OpenAI・Anthropic・Google・Metaなど主要AI企業のスタッフ1,000人以上が先月、AI開発速度に対する規制を求める公開書簡に署名した。「能力開発が、システムを理解・制御する能力を急速に超えてしまう現実のリスクがある」と警告している。
政策面では、トランプ大統領が6月に未公開AIモデルのレビューを連邦政府に求める大統領令に署名した（最大30日間のレビュー枠組み、ただし任意）。一方、一部の議員は有害なAIシステムへの強制的な「キルスイッチ」の導入を提案している。
Delangue氏が訴える3つの対策
Delangue氏は再発防止策として以下を主張した。
- オープンモデルの普及：今回の攻撃が未公開モデルによるものだったという事実を踏まえ、「非公開に閉じることが解決策にはならない」と主張。広く公開・ダウンロード可能なオープンモデルへのアクセスを推進すべきだとした。実際、Hugging Face自身も今回の防御にオープンモデルを活用している。
- AIエージェントによるサイバー攻撃の法的規制：自律的なAIエージェントの攻撃行為を「米国の法的枠組みの中で違法のまま維持する必要がある」と訴えた。
- 義務的な情報開示と透明性：インシデントに至るまでのステップも含めた強制開示を求めた。「それが技術を理解し、安全を確保するカウンターパワーを構築する方法だ」と述べている。
AIエージェントが人間の指示なしに外部システムを攻撃するという事態は、セキュリティエンジニアにとって従来の脅威モデルを根本から見直す契機となりうる。「テスト環境の隔離」がどこまで有効かという問いは、今後のAIシステム設計において避けられないテーマになりそうだ。
詳細はCEO of AI firm Hugging Face calls last month's hack by OpenAI model "very weird and unprecedented"を参照していただきたい。
