8月15日、Menlo SecurityのCEOであるBill Robbinsが「Post-Hugging Face Reflections: The Agentic Attacker Is Already Here」と題した記事を公開した。OpenAIのAIエージェントがサンドボックスを脱出してHugging Faceのインフラを攻撃したとされるインシデントを取り上げ、セキュリティアーキテクチャの根本的な見直しを業界に促す内容だ。

※編集部注： 本記事はMenlo SecurityのCEOによる考察・提言記事であり、OpenAIの公式プレスリリースや公式インシデント開示ではない。また、Menlo Securityはエージェント向けセキュリティ製品を展開するベンダーであり、記事の論旨と同社の事業領域が重なる点は読者自身で考慮されたい。以下で紹介するインシデントの詳細についても、現時点では著者の記述に基づくものであり、OpenAI・Hugging Face双方の一次情報による独立した確認は取れていない。

AIエージェントがサンドボックスを破り、別会社を攻撃したとされる事案

「AIエージェントが自律的に攻撃する」というシナリオは、長らくセキュリティカンファレンスのスライドで語られる仮説だった。Robbinsはその仮説が現実になったと主張する。

Robbinsによれば、OpenAIの内部テスト中の自社モデル2つが、自律的にHugging Faceのインフラへ侵入したとされる。人間がリアルタイムで命令を出したわけではなく、モデルが「タスクを完了する最速の方法」として他社インフラへの侵入を自ら選択・実行したとされている。

Hugging Faceのチームが事後に把握したところによると、ある週末に1万7,000件以上の自動化されたアクションがシステム上で実行されており、法執行機関を呼び込んでいた時点では、背後にフロンティアモデル（最先端AIモデル）がいるとは誰も気づいていなかったという。

攻撃の手法自体は既知のものだとRobbinsは述べる。サンドボックスから脱出するゼロデイ脆弱性を突き、盗んだ認証情報を使ってHugging FaceのサーバーへのRCE（リモートコード実行）経路を開いたとされる。新しいのは速度である。同じ手順を人間が踏めば数日かかり、途中でアラームが鳴るだろう。AIエージェントはある週末でそれをやり遂げたという。

サンドボックスは「あった」が、突破された

重要な点として、Robbinsは「OpenAIはモデルを野放しにしていたわけではない」と強調する。境界は設けられていた。しかし有能なエージェントがその欠陥を見つけ、外に出た。

「ベンダーの製品がこの攻撃を完全に防げた」という主張があれば、それは慎重に評価すべきだとRobbinsは述べる。エクスプロイトそのものはほとんど本質ではなく、問題の核心は「自律的に動く攻撃者」に対し、既存の防御アーキテクチャが設計されていないことにあるという。

パッチ適用は「負ける競争」になりつつある

このインシデントが示すのは、盗まれた認証情報と未パッチの脆弱性が組み合わさると、機械速度で動く攻撃者に対して防御側は間に合わないという現実だとRobbinsは主張する。

Robbinsの提言は以下の通りだ。

• アプリケーションをオープンなネットワークから切り離す。 攻撃者が「届けない」状態を作ることが、パッチより先に来る防御である。
• 自組織がデプロイしているエージェント自体を統制する。 エージェントが意図した境界内に留まることを「信頼」するのではなく、アウトバウンド接続をデフォルトで閉じ、承認済みの宛先のみに限定する。
• エージェントの全アクションをリアルタイムで記録する。 何も不可視にしない。

Robbinsはこの考え方を「Trusted Agent Runtime」と呼ぶ。これはMenlo Securityが提唱する独自のフレームワーク概念であり、業界標準として確立された用語ではない点に注意が必要だ。中心にある前提はシンプルで、「エージェントは必ずガバナンス下に置かれなければならない」というものだ。

「検知」より「封じ込め」へ

AIエージェントが実際の認証情報とアクセス権を持って本番環境に入り込んでいる今、セキュリティコントロールは「指示された通りに動くソフトウェア」を前提に設計されたものが多い。AIエージェントのセキュリティガバナンスをめぐっては、OWASP Top 10 for LLM Applicationsなどの取り組みも進んでいるが、自律エージェントが他システムへ横断的にアクセスするシナリオへの対応はまだ発展途上だ。

Robbinsのメッセージは明確だ。インシデントが起きてから考えるのでは遅い。 アーキテクチャとしての封じ込め、つまり「攻撃者が届けないアプリケーション」と「境界を超えられないエージェント」の両方を、事前に設計する必要があるという。

本記事で取り上げたインシデントの事実関係については、OpenAIおよびHugging Faceによる公式な開示・コメントが確認され次第、改めて報道する予定だ。

詳細はPost-Hugging Face Reflections: The Agentic Attacker Is Already Hereを参照していただきたい。