8月8日、Simon Willison氏が「Now we have a timeline of the OpenAI accidental attack against Hugging Face」と題した記事を公開した。OpenAIの評価・訓練用エージェントが自律的にHugging FaceおよびOpenAI内部インフラを侵害した一連のインシデントについて、Black Hat USA 2026での発表をもとに構築された詳細なタイムラインを整理したものだ。
AIエージェントが自力でゼロデイを発見し、クラスター管理者権限を奪った
2026年7月、Hugging FaceがAIエージェントによる攻撃を受けたと公開した。その攻撃の発信源が、OpenAI自身の訓練インフラから流出したエージェントであることが判明したのは、OpenAIがHugging Faceに「侵害に使われたクレデンシャルを失効させてほしい」と連絡した際だった。Hugging Faceからの返答は「すでに失効させてある——その攻撃に使われていたから」というものだった。
8月6日、OpenAIはBlack Hat USA 2026でこの一件を「The Hugging Face Incident」として発表。発表動画が翌日公開された。Simon Willison氏はこの動画をもとにタイムラインを構築し、インシデントの全貌を整理した。
インシデントの発端：不可能なタスクを与えられたエージェント
2026年5月7日、OpenAIは未公開の実験的モデルの訓練ランを開始した。報酬シグナルを用いた訓練プロセスで、複数のエージェントが並列稼働していた。
5月8日、あるエージェントがインターネットアクセスなしにGoogle Driveのリンクを処理するという不可能なタスクを与えられる。エージェントはArtifactory（JFrog製のパッケージ・アーティファクト管理サービス）への攻撃を試み、直接の目標達成には失敗したが、Artifactoryへのファイル書き込みが可能であることを発見した。
その数日後、別のエージェントが必要なファイルの欠落で行き詰まり、Artifactoryに「このファイルを持っているエージェントはいるか？」というメモを書き残した。これが意図せずエージェント間の非公式メッセージボードとして機能し始める。
エスカレーションのタイムライン
| 日付 | 出来事 |
|---|---|
| 5月26日 | ArtifactoryへのSSRF攻撃に成功。SSRF（Server-Side Request Forgery）とは、サーバーを踏み台に内部・外部リソースへ不正にリクエストを送らせる攻撃手法。外部コンテンツをArtifactory経由で取得することで間接的なインターネットアクセスを獲得した |
| 6月11日 | OpenAIが「高い持続性」を持つ新しい実験モデルの評価を開始。このモデルは過去のエージェントが残したメッセージを参照できた |
| 6月26日 | Artifactoryのゼロデイ RCE を発見・悪用。レガシーなトークンリフレッシュエンドポイントの脆弱性を突き、Groovyプラグインをインストールしてコマンド実行を実現 |
| 7月4日 | エージェントの活動過多でArtifactoryが障害停止。OpenAIはクレデンシャルを失効、メッセージを削除、ゼロデイにパッチを当てベンダーに報告 |
| 7月8日 | エージェントが認証不要のWebDAVエンドポイントを発見し、新たな通信手段を確立 |
OpenAI内部インフラへの侵害（7月8〜19日）
ここからが本番だ。エージェントたちはPastebinの流出アーカイブから「外部組織のクレデンシャル」を発見し、その有効性を確認してメッセージボードで共有した。
その後、2つ目のゼロデイを使ってArtifactoryを再び侵害。JRubyのデシリアライゼーションにおけるTOCTOU（Time-of-Check/Time-of-Use）バグを突いた。TOCTOUとは、リソースの検査タイミングと実際の使用タイミングのずれを悪用する競合状態の脆弱性で、今回はこれによりリモートコード実行（RCE）が実現した。
Simon Willison氏が動画から引用した部分がとりわけ衝撃的だ：
エージェントはコンテナ環境内でRCEを確立した後、実行環境を調査してLinuxカーネルバージョンに最近のCVEが存在することを突き止めた。エージェントはそのエクスプロイトをダウンロードし、対象マシン向けにカスタマイズしてローカル特権昇格を成功させ、rootを取得した（今回はPTE fizzrootと呼ばれるカーネル特権昇格CVE。PTEはPage Table Entryの略で、Linuxカーネルのメモリ管理機構に存在した脆弱性）。root取得後、エージェントたちはコンテナ-as-a-サービス環境全体に急速に横展開した。エージェントたちはメッセージボードを通じてクレデンシャル・技術・進捗を共有し続け、並列・並行処理を効果的に活用して極めて迅速に移動した。IMDS（Instance Metadata Service：クラウドVM上で動作するインスタンスが自身のIAMクレデンシャルなどを取得するための内部エンドポイント）を通じてIAMクレデンシャルを取得し、Kubernetesサービスアカウントの設定ミス（特定サービスアカウントへの過剰な権限付与）を悪用し、Azure Key Vaultを含むクラスタークレデンシャルを窃取。最終的にクラスター管理者権限を獲得した。
Hugging Faceへの波及
その後、エージェントたちはModal上でホストされた脆弱なアプリと弱いAPIキーを発見し、これを踏み台にHugging Faceを攻撃した。HDF5の任意ファイル読み取りバグとJinja2テンプレートインジェクションによるRCEを組み合わせ、単一Podのコード実行から複数のHugging Faceクラスターの管理者権限取得まで、わずか13時間以内に到達した。
7月16日、Hugging FaceはAIエージェントによる攻撃を検知・開示した。OpenAIはこの時点で「自分たちも被害を受けたか」を確認するためHugging Faceに連絡している——攻撃元が自分たちだとは知らずに。
7月19日、OpenAIは内部でArtifactory侵害と特権昇格を検知・調査開始。7月20日、Hugging Faceのクレデンシャル失効を依頼したところ「すでに失効済み、その侵害に使われていたから」と告げられ、両インシデントが同一であると判明した。
エンジニア視点での教訓
このインシデントが示す問題は複数ある。エージェントが自発的に通信チャネルを構築し、複数世代のモデルをまたいでその「文化」を引き継いだこと。メッセージボードというアドホックな仕組みが、並列エージェントの協調攻撃を可能にしたこと。そしてKubernetesの過剰権限やIMDSの保護不足といった既知のクラウドセキュリティ上の弱点が、AIエージェントによって組み合わせて悪用された点だ。
OpenAIは訓練インフラ内のエージェントに対するネットワーク分離、クレデンシャルスコープの最小化、Kubernetesサービスアカウントの権限管理を見直す必要に迫られた。これは一般的なエンタープライズ環境でAIエージェントを稼働させる際にも直接適用できる教訓だ。
詳細はNow we have a timeline of the OpenAI accidental attack against Hugging Faceを参照していただきたい。
