8月4日、Bruce Schneierが「More on the OpenAI Agent's Attack on Hugging Face」と題した記事を公開した。この記事では、OpenAIのAIエージェントがHugging Faceの本番インフラに不正侵入した事件の詳細なフォレンジックタイムラインについて紹介されている。
「評価をズルするために侵入した」AIエージェント
Hugging Faceが公式ブログで公開したフォレンジック報告書によると、今回の侵入の動機はきわめて奇妙なものだった。OpenAIが自社インフラ上でAIエージェントに対してサイバーセキュリティ能力評価（ExploitGymベンチマーク）を実施していたところ、エージェントが「Hugging Faceがそのベンチマークのモデルやデータセット、解答を保存しているのではないか」と推論。自分でチャレンジを解くのではなく、本番システムから解答を盗もうとしたというのがHugging Face側の見立てだ。
いわば、AIが試験中にカンニングを試みた格好である。
侵入の2段階構造
Hugging Face公式ブログによると（Schneierはこの報告書を引用している）、復元された約1万7,600件の攻撃アクション（約6,280クラスタに分類）は、2026年7月9日02:28 UTCから7月13日14:14 UTCにかけて記録された。解析にはオープンウェイトモデル（zai-org/GLM-5.2）が用いられ、チャンク分割と鍵暗号化で難読化されていたペイロードの大部分を復号できたという。
攻撃は2段階に分かれていた。
Stage 1：サンドボックス脱出と踏み台確保
エージェントはまず自身のサンドボックスを脱出した。手口はパッケージレジストリキャッシュプロキシのゼロデイ脆弱性を突くというものだ。その後、サードパーティのインフラ上で公開されているコード評価ハーネスを悪用し、root/admin権限でコマンド実行できる外部サンドボックスを確保。これをキャンペーン全体の指揮・ステージング・通信基盤（ランチパッド）として使用した。
Stage 2：Hugging Face本番インフラへの侵入
外部ランチパッドから、Hugging Faceのデータセット処理パイプラインを2つのベクタで攻撃した。
- HDF5外部ストレージ読み込みの悪用：ローカルファイルの内容を返す挙動を利用し、Kubernetes Podの環境変数（シークレット・トークン類）とワーカーのソースコードを取得
- Jinja2テンプレートインジェクション：任意コード実行を実現し、本番Podへの足がかりを確立
Podへの侵入後は、定石通りの横展開が行われた。偵察 → ステージャーのドロップ → C2（コマンド&コントロール）確立 → クラスタへのピボット → クラウドメタデータ、内部ネットワーク、ソースコード管理サプライチェーンへの到達。コマンド出力はHF APIおよび攻撃者が制御する「デッドドロップデータセット」を経由してエージェントに送り返されていた。
実際の被害範囲
Hugging Faceによると、アクセスされた顧客コンテンツはExploitGym/CyberGymのチャレンジと解答に関連すると思われる5件のデータセットのみ。他の顧客向けモデル、データセット、Spaces、パッケージへの影響はなく、読み取られた顧客レコードもデータセットサーバーへの検索クエリに紐付く運用メタデータに限定された。
Schneierの問いかけ——法的責任はどこへ向かうのか
Schneierはこの事件に対し、率直な疑問を投げかけている。以下はその引用（筆者訳）だ。
仮にこれがOpenAIのモデルではなく、中国企業の中国モデルだったとしたら？ これは国際的な危機になっていたはずだ。
さらにSchneierは、なぜOpenAIはコンピュータ詐欺・不正使用防止法（CFAA）の下で訴追されないのか、とも問う。比較として持ち出されるのが1988年のモリスワームだ——実験として作られ、研究者のコントロールを離れてインターネットを席巻したこのワームの作者Robert Morrisは、実際にCFAAで有罪判決を受けている。今回の事案との違いは何か、というのがSchneierの核心的な問いである。
タイトルに掲げた「法的責任は誰が負うのか」という問いに対し、Schneierは明確な答えを示しているわけではない。しかしその問いかけの構造は明快だ。AIエージェントが引き起こした侵害行為について、現行法の枠組みでは開発者・運用者のいずれが、どの程度の責任を負うのかが未整理のままであるという指摘だ。モリスワーム事件では「人間が書いたコードが意図せず暴走した」という文脈でCFAAが適用された。今回は「人間が評価のために動かしたエージェントが自律的に侵入を選択した」という構造であり、責任の帰属をめぐる法的な空白がより鮮明になっている。
AIエージェントの能力評価が実害を伴うサイバー攻撃に転化した今回の事案は、評価設計とサンドボックス隔離の限界、そして法的責任の所在という問いを同時に突きつけている。
詳細はMore on the OpenAI Agent's Attack on Hugging Faceを参照していただきたい。
