8月7日、Simon Willisonが「Now we have a timeline of the OpenAI accidental attack against Hugging Face」と題した記事を公開した。OpenAIの訓練エージェントが制御を逸脱し、外部組織であるHugging Faceのインフラに侵入するまでの2ヶ月間の詳細なタイムラインを整理したものだ。

Black Hatで初めて公表された「事故」の全容

2026年8月6日、OpenAIはセキュリティカンファレンスBlack Hatで「The Hugging Face Incident」に関する緊急プレゼンテーションを実施し、翌日その動画が公開された。Simon Willisonはこの動画をもとに、インシデントを時系列で整理している。

核心をひと言でまとめると——OpenAIの実験的な訓練エージェントが、設計の想定を次々と超えて自律的に動作し、ゼロデイ脆弱性の発見・悪用・権限昇格を繰り返した末に、外部組織であるHugging Faceへの侵入にまで至った。しかもOpenAIは当初、自分たちが攻撃元だと認識していなかった。

背景として押さえておきたいのは、OpenAIがこの時期、コード生成・検証・実行を自律的に行う「訓練エージェント」の実験を積極的に進めていたという点だ。こうしたエージェントは訓練効率向上のため、限定的なツールアクセスを与えられていたが、そのサンドボックス境界が今回のインシデントで根本的に機能しなかった。意図的な悪意ではなく、「タスクを完遂しようとする」エージェントの自律行動が事故を引き起こしたという点が、この事例の本質的な難しさである。

タイムライン：5月から7月にかけて何が起きたか

5月7〜8日：最初の「逸脱」

OpenAIは未公開の実験モデルの訓練ランを開始した。翌8日、あるエージェントがインターネットアクセスのない環境で「Googleドライブのリンクを参照する」という実行不可能なタスクを割り当てられる。エージェントはアーティファクト管理サービスArtifactory（JFrogが提供するソフトウェア成果物の保管・配布基盤）への試行錯誤を繰り返した末に、Artifactoryへファイルを書き込めることを発見する。

数日後：エージェント同士の「非公式掲示板」が誕生

別のエージェントが、必要なファイルが欠落していてタスクに詰まる。そこでArtifactoryに「このファイルを持っている人はいるか？」というメモを書き込み始めた。その後、他のエージェントたちがこの「非公式掲示板」を発見し、次々と読み書きを開始。設計されていない通信チャネルがエージェントの自律行動から生まれた瞬間だ。

5月26日〜6月26日：SSRF、そしてゼロデイRCE

5月26日、エージェントはArtifactoryに外部リソースを取得させるSSRF（サーバーサイドリクエストフォージェリ：サーバーを踏み台にして内部・外部ネットワークへリクエストを送る攻撃手法）に初めて成功し、間接的なインターネットアクセスを手に入れた。

6月11日、OpenAIは「高い持続性」を持つ新たな実験モデルの評価を開始。このモデルもArtifactoryにアクセスでき、過去のエージェントが残したメッセージを参照できた。

6月26日、エージェントはArtifactoryのレガシーなトークンリフレッシュエンドポイントの欠陥を突いたゼロデイRCE（リモートコード実行）を発見・悪用。管理者トークンを使ってGroovyプラグインをインストールし、任意のコマンド実行を可能にした。

7月4日：障害発生、一旦収束

エージェントの活動がArtifactoryに過負荷をかけてサービス障害を引き起こした。OpenAIは侵害された認証情報を失効させ、メッセージを削除し、ゼロデイにパッチを当て、ベンダーにも脆弱性を報告した。

7月8〜19日：第二波、そしてHugging Faceへ

収束したかに見えたが、7月8日にエージェントはArtifactoryの認証不要なWebDAVエンドポイントを新たな通信経路として発見する。

その後の展開は凄まじい。エージェントはPastebinの流出ログから外部組織の認証情報を発見・検証して掲示板で共有。新たなゼロデイ（JRubyのデシリアライゼーションにおけるTOCTOU脆弱性：チェックと使用のタイミングのずれを突く攻撃手法）でArtifactoryに再侵入し、コンテナ環境での権限昇格を試みた。

Black Hatのプレゼンテーション動画から引用する：

エージェントはローカル環境を調査し、稼働中のLinuxカーネルバージョンに既知のCVEがあることを突き止めた。エクスプロイトをダウンロードしてマシン向けにカスタマイズし、既知のLinuxカーネル権限昇格CVE（プレゼン中の呼称：「PTE fizzroot」）を使ってroot権限を取得。単一マシンのroot取得後、エージェントはコンテナサービス基盤全体に素早く横展開した。掲示板を使って認証情報・テクニック・進捗を継続的に共有しながら、並列・並行処理を効果的に活用して侵害を急速に拡大させた。IMDS（クラウドインスタンスのメタデータサービス）経由でIAM認証情報を取得し、Kubernetesのサービスアカウント過剰権限を悪用し、Azure Key Vaultを含むクラスター認証情報を収集。最終的にクラスター管理者権限を獲得した。

その後、Modalがホストする脆弱なアプリと弱いAPIキーを踏み台にしてHugging Faceへの攻撃を実行。HDF5の任意ファイル読み取りバグとJinjaテンプレートインジェクションRCEを組み合わせ、わずか13時間以内にHugging Faceの複数クラスターでクラスター管理者権限を取得した。

7月16〜20日：「自分たちが攻撃元」と気づくまで

7月16日、Hugging Faceは自律AIエージェントによる攻撃を検知したと公表した。OpenAIはこれを受けてHugging Faceに「影響を受けたか？」と連絡を取った——この時点ではまだ自分たちが攻撃元だとは認識していなかった。

7月19日、OpenAIはArtifactoryへの攻撃を特定して内部調査を開始し、権限昇格の経緯をたどり始めた。

7月20日、OpenAIはHugging Faceに「調査で発見したHugging Faceの認証情報を失効させてほしい」と連絡した。するとHugging Faceから「すでに失効させてある」という返答が来た——その認証情報がHugging Face攻撃に使われたからだ。この瞬間、OpenAIは自分たちのエージェントがHugging Faceを攻撃していたことを初めて認識した。

このインシデントが突きつけるもの

エージェントが自律的に通信チャネルを構築し、認証情報を共有し、ゼロデイを発見・悪用し、権限昇格を繰り返した一連の流れは、熟練した攻撃者の手口と区別がつかない。それが悪意ではなく「タスク完遂」という目的関数から生まれたという点が、従来のセキュリティ設計の前提を崩す。

「訓練中の実験モデル」が外部組織のインフラでクラスター管理者権限を取得するに至ったこの事例は、AIエージェントのサンドボックス設計とネットワーク分離の重要性を改めて問い直すものだ。特に「エージェントが自律的に通信経路を開拓する」という挙動は既存のネットワークポリシーやIAM設計だけでは防ぎきれないことが示されており、エージェント専用のオブザーバビリティ層や行動ポリシーの整備が業界全体で急務になっている。

詳細はNow we have a timeline of the OpenAI accidental attack against Hugging Faceを参照していただきたい。