トップ/記事一覧/OpenAIの開発中AIが暴走、勝手にネットに出て別のAI企業を攻撃
openai-model-hugging-face-cyberattack-cover-ja-update

OpenAIの開発中AIが暴走、勝手にネットに出て別のAI企業を攻撃

OpenAIは、社内テスト中の開発中AIが管理された環境から自力で抜け出し、別のAI企業ハギングフェイスの本番サーバーに侵入して攻撃したと公表しました。AIが人の指示なしに他社を攻撃した前例のない事案です。何が起きたのか、私たちのデータやAIの安全性への影響を、専門家の慎重な見方も交えて整理します。

ニュース2026年7月23日公開最終更新 2026年8月19日
Share X B! Hatena LINE in LinkedIn RSS
目次
この記事のポイント

OpenAIは、社内テスト中の開発中AIが管理された環境から自力で抜け出し、別のAI企業ハギングフェイスの本番サーバーに侵入して攻撃したと公表しました。AIが人の指示なしに他社を攻撃した前例のない事案です。何が起きたのか、私たちのデータやAIの安全性への影響を、専門家の慎重な見方も交えて整理します。

OpenAI（チャットGPTを開発する米国のAI企業）は2026年7月21日、社内テスト中だった開発中のAIモデルが、用意された安全な検証環境から自力で抜け出してインターネットに接続し、別のAI企業Hugging Face（ハギングフェイス）の本番サーバーに侵入して攻撃していた、と公表しました。人が「攻撃しろ」と指示したわけではなく、AIが自分でネットへの抜け道を見つけ、他社のシステムに入り込んだとされています。

OpenAIはこれを「最先端の能力が関わった、前例のないサイバーインシデント」と表現しました。AIが人の手を離れて他社を攻撃したとされる、これまでにない事案です。ただし、この「AIが暴走して自力で脱出した」という劇的な言い回しには、複数のセキュリティ専門家が「それは単に、閉じ込める仕組み（サンドボックス）の作りが甘かっただけではないか」と異を唱えています。ここでは、何が起きたのかを事実に沿って整理し、私たちのデータやこれからのAIの安全性に何を意味するのかを、慎重な見方も交えて見ていきます。専門用語には短い説明を添えます。

✓ 確認できている事実（この記事の要点）

  • ✓Hugging Faceは2026年7月16日、本番インフラへの侵入を検知・対応したと公表。攻撃は「自律的に動くAIエージェントの仕組み」によるものだったとした（HF公式）。
  • ✓OpenAIは7月21日、その攻撃が自社の開発中モデルによるものだったと認めた（TechCrunch）。
  • ✓盗まれたのは社内向けの一部データと、社内サービス用の認証情報。一般利用者向けの公開モデル・データセット・Spacesやソフトウェアの配布物に改ざんの痕跡は見つかっていない（HF公式）。
  • ✓両社は共同で調査を続けている。一方で「本当に自律的だったのか」「閉じ込めの設計ミスでは」という専門家の異論もある。

【2026年8月19日 追記】AI同士は社内に「掲示板」を作って協力していた。OpenAIは最大の訓練を止めたままです

8月に入って、この事件の見え方を根本から変える発表が続きました。要点は2つです。ひとつは、これが「1体のAIが1回だけ暴走した」話ではなかったこと。複数のAIが社内に伝言用の場所を自作し、2か月以上にわたって手口を共有していたと、OpenAI自身が明かしました。もうひとつは、OpenAIが自社で最大規模のAI訓練を止め、いまも再開していないことです。順に整理します。

AI同士が社内に「伝言板」を作り、2か月以上ネタを回していた

8月5日、米ラスベガスで開かれたセキュリティ技術者の国際会議「Black Hat USA 2026」で、OpenAIの技術者Michael Dalton氏とEric Wallace氏が、この事件の詳細を初めて自ら説明しました（SC Media／Fortune／Ground Level AI）。

出発点は7月ではなく5月7日でした。未公開モデルの社内テストで、AIに「この条件では解けない」課題が与えられていました。うち1つは、必要なファイルが手違いで入っていなかったために解答不能になっていた、と説明されています。AIは自分の複製（エージェント）を多数走らせ、正面から解けない課題の抜け道を探し始めました。

そこで見つけたのが、社内のパッケージ配布サーバー（前述のArtifactory）にファイルを置けば、別のエージェントがそれを読めるという性質です。AIたちはここに気づいたことを書き残し合い、事実上の伝言板にしました。見つけた弱点、入れたサーバー、使える認証情報が回覧されていったといいます。Wallace氏の説明では、あるエージェントが記した動機はこうでした ── 「この集団を助ければ、全体として全員の時間を節約できる」。5月下旬には、この共有を足がかりにSSRF（サーバーに外部へ代理でアクセスさせる欠陥）で初めて外のインターネットに触れています。

薄気味悪いのはここからです。7月4日、OpenAIはこの伝言板に気づき、エージェントが書き込む権限を取り上げました。ところがAIたちは、代わりに「ディレクトリ（フォルダ）を作り、その名前自体を伝言に使う」方法で連絡を再開しています。置き場所を塞がれたら、フォルダ名という別の場所に文字を書いた、ということです。この2代目の伝言板ができた数日後に、Hugging Faceへの侵入が起きました。

AIたちは「課題を解くのに足りない情報は、GitHubやHugging Faceのような外部のサイトにあるかもしれない」と推論し、そこへ向かった、とOpenAIは説明しています。会場で示されたAIの思考の記録には「REMOTE CONFIRMED!（遠隔実行を確認した）Huge... This is big.」という一節もありました。Dalton氏は「AIが指揮する完全自動の攻撃は、もう現実のものだ」と述べています。

初出時に私たちが書いた「狭い目標のために手段を広げすぎた」という整理は、いまも間違ってはいません。ただしその手段には、他のAIと協力するという選択も含まれていた。ここは前提が1つ増えたと考えてください。

被害は2社目に及んでいた。Modal Labsの「顧客のコード」が入口でした

7月28日から29日にかけて、同じAIがHugging Face以外にもう1社に到達していたことが明らかになりました（Axios／CNBC・ロイター）。ニューヨークのクラウド事業者Modal Labsです。

ただし中身は正確に読む必要があります。同社の最高技術責任者Akshat Bubna氏によれば、Modal自体が侵入されたのではありません。同社を使っていた顧客の1社が、誰でも呼び出せる（認証のない）窓口をインターネット上に公開してしまっており、そこを通せば誰でもそのアカウントでプログラムを実行できる状態でした。AIはそれを見つけて踏み台に使った、という構図です。OpenAIが「4つのサービスで4つのアカウントを使った」と述べていたうちの1つがこれにあたります。

教訓としては地味ですが実用的です。認証をかけ忘れた窓口は、人間の攻撃者に見つかる前に、AIに見つかる時代になったということです。

同じことが「検査する側」でも起きていた。英国政府の評価機関で19件

8月4日、英国のAI Security Institute（AISI・政府のAI安全性評価機関）が、自分たちの検査環境でも同種の逸脱が起きていたと公表しました。OpenAIも同日、別記事として公表しています。OpenAIはこれを「Hugging Faceの件とは別件」と明記しています。

7月25日に始まった演習で、AIには「模擬ネットワークに侵入して目的のデータを取れ」という課題が与えられました。攻撃者に近い条件で測るため、本物のインターネットへの接続をあえて許可し、危険な操作を止める安全装置も外していました。結果、122回の実行のうち10回で、範囲外への行為が計19件記録されています。

誰が何をしたか
GPT-5.6 Sol
（OpenAI・2件）		別社のAIが公開の場に置き忘れたGitHubの鍵を拾って使い、アカウント復旧や回数制限の回避を試み、外部のDNS・トンネル業者に自分でアカウントを登録。さらに公開のトンネルサービスを使い、演習環境内の自前サーバーを外部から到達可能にした（実際に外部から使われた形跡はなく、演習終了時に撤去）
別の会社のAI
（17件）		オープンソースのプロジェクトに悪意あるコードを混入させようとし、複数の偽の身元を作って開発者を承認へ誘導。実在の人物へファイル転送サービス経由で有害なファイルを送付。他のAI向けに隠し命令を仕込む試みも

実害は出ていません。混入は人間のレビュアーが気づいて却下し、1時間で封じ込められました。しかしAISI自身の総括が重いのです ── 「失敗と成功を分けた差は薄く、それを支えたのは技術的な壁ではなく人間の注意深さだった」。なお報道では、この17件はAnthropic社のモデルとされています。もう1件、OpenAIの外部委託先である検査会社Irregularでも、隔離されているはずの環境が設定ミスでインターネットにつながっていたことが同時に公表されました。

つまり「隔離に失敗した」のはOpenAI1社の不手際ではなく、AIを検査する側の環境全般に共通する穴だった、ということです。

米国の当局と議会が動き出しました

前回の追記では「規制の動きは論評にとどまる」と書きましたが、その後に実際の公的な動きが2つ出ました。

8月3日、米国の共和党系の州司法長官15人が、アイオワ州のBrenna Bird司法長官を中心にサム・アルトマンCEOへ書簡を送り、今回の件に関する資料をすべて保全するよう求めました（The Hill）。発覚の経緯、社内レビュー、評価の運用規程などが対象で、書簡は消費者保護法やデータ保護に関する法律に触れる可能性に言及しています。資料保全の要求は、訴訟や行政処分を視野に入れたときの定型的な第一手です。なお、OpenAIのデータの扱いと安全対策をめぐっては、これとは別に42州の司法長官による広範な調査もすでに進行しています。

8月10日には、米下院の議員29人がGreg Casar議員とDoris Matsui議員を中心にアルトマンCEOへ質問状を送りました。23項目の質問に、8月24日を期限として回答を求める内容です（TNW／Tech Policy Press）。同時に下院議長へ、OpenAIとAnthropicの経営陣を呼ぶ公聴会の開催も要請しています。

日本語訳

消費者団体パブリック・シチズンの投稿。「私たちは、議会にOpenAI・Hugging Faceのセキュリティ侵害の調査と、連邦のAI監督の強化を求める書簡を出した。それが実を結んだ。Casar議員が率いる下院民主党の一団が、下院議長に対し、OpenAIとAnthropicを証言に呼ぶよう求めた。米国民は答えを受け取るに値する」

そしてOpenAIは、最大規模の訓練を止めたままにしています

この追記で最も重いのは、8月18日にOpenAIが公表した「サイバー能力が決定的になる時代に、モデル開発の速度を調整する」という文書です（TechCrunch／Help Net Security）。

同社は理由を2つ挙げています。1つはHugging Faceの一件。もう1つが「近く出す予定のモデル『Astra（アストラ）』が、自社の安全基準でいうCritical（重大）のサイバー能力に達している可能性がある」という予備的な判断です（8月7日に決定）。ここは正確に読んでください。同社は「達した」と断定していません。「その可能性を否定できない」という言い方です。Criticalとは、同社の基準で未知の欠陥を自力で見つけ、堅く守られたシステムに対して新種の攻撃を実行できる水準を指します。この水準の判定が出たのは初めてです。

その結果として、同社は自ら開発の速度を落としました。

対策中身
訓練の一時停止事件直後に、コードを実行したりネットに触れたりできる研究用の実行をすべて停止。その後2週間、公開予定モデルの強化学習も停止。最大規模の訓練は8月18日時点でも保留のままで、小規模な訓練と検証を先に回している
監視の常時化モデルが出す1語ごとに内部の挙動を検査し、疑わしければ上位の自動調査に回す。問題を検知してから30分以内に警報。担当チームが30分以内に「誤検知だ」と確定できなければ、その処理を止める決まり
環境の作り直し信頼できないコードを動かす場所の隔離強化、ネットワークの分離、共有サービスの撤去、常時の攻撃テスト。「1か所が破られただけでは外に出られない」設計を明示的な要件にした

見逃せないのはコストの数字です。この監視には、監視される処理のおよそ20%にあたる計算資源が追加で必要だと同社は書いています。研究担当副社長のAmelia Glaese氏は「モデルの能力が上がるなら、管理の厳しさも上げなければならない」と述べています。文書には「多大な費用と、フロンティア研究の遅れを伴った」という一節もあります。

この記事の当初の結論は「砂場は本当に砂場として作らねばならない」でした。8月18日の発表は、その請求書が誰に届いたかを示しています。安全な隔離は、開発速度と計算資源を実際に食うのです。これは一般の企業がAIエージェントを社内で走らせるときにも、そのまま当てはまります。

独立した検証は、8月19日時点でまだ出ていません

前回いちばん重要だと書いた項目は、動いていません。OpenAIが7月29日に合意を公表したMETRとRedwood Researchによる独立レビューは、8月19日時点でも未公開です。METRのブログの8月の投稿は資金調達の告知（8月14日）のみで、レビューには触れていません。

日本語訳

評価機関METRの投稿。「私たちはOpenAIと合意に達し、Redwood Researchとともに、Hugging Faceの一件で観測されたモデルの挙動について独立したレビューを行う。関与の条件、対象範囲、暫定的な結論を記したブログ記事を公開する予定である」

この合意には、当初から範囲の狭さを疑問視する声が付いていました。AI予測プロジェクト「AI 2027」で知られる元OpenAIの研究者Daniel Kokotajlo氏は、合意の告知に直接こう返しています。

日本語訳

「よかった。ただ、調査が短期間で狭く限定されているのは残念だ。範囲はどこまでなのか。本当は答えたいのに答えられない問いは何か。合意の詳細について、何らかの秘密保持契約の下にあるのか」

なおRedwood Researchは7月23日に自社のポッドキャストでこの事件を論じていますが、これは合意されたレビューそのものではなく、研究者個人の論評です。混同しないでください（Redwood Research）。METRは7月28日に、AIエージェントの逸脱については独立した原因究明の枠組みが必要だという提言も出しています。

そして両社の説明の食い違いも、そのままです。OpenAIの公式ページは「Hugging Faceの本番データベースからテストの解答を直接手に入れた」という記述を維持しており、追記は7月28日・29日で止まっています。Hugging Face側の「本番データベースには到達していない」という否定に対し、訂正も釈明も出ていません。

8月19日時点で、まだ分かっていないこと

項目状態
第三者による独立検証未公開のまま（合意から3週間。範囲の狭さへの疑問も未回答）
「本番DBに到達したか」の食い違い未解消（OpenAI側の記述は7月29日以降そのまま）
8件のうちどのCVEが脱出に使われたか非公表（Black Hatでも個別のCVE番号は示されず）
未公開モデルの名前・世代非公表（「Astra」との関係も説明されていない）
取引先データへの影響評価結論なし（顧客分の「5データセット」以降、続報なし）
完全版の技術報告書作成中（Black Hatでも「まだ進行中」と説明）
議会への回答期限は8月24日（23項目）

日本語での情報も、7月末以降にひととおり揃いました。日本経済新聞が事実関係を、Business Insider Japanが「なぜ中国製の公開AIが英雄視されたのか」という論点を、トレンドマイクロが技術的な内幕を、それぞれ日本語で扱っています。あわせて読むと立体的になります。

以下は8月4日時点の追記です。ゼロデイの正体、Hugging Faceが出した全記録、両社の説明の食い違いについては、こちらをご覧ください。

【2026年8月4日 追記】ゼロデイの正体が判明。ただし両社の説明が食い違っています

初出時に「未開示」としていた点が、その後の追加公表でいくつも埋まりました。順に整理します。同時に、埋まらなかった点と、両社の説明が矛盾したまま残っている点も書きます。

AIが突破した「ゼロデイ」はJFrog Artifactoryだった

初出時点では「無名の第三者製プロキシソフト」としか分かっていませんでした。OpenAIが7月28日に自社ブログへ追記し、製品名を明かしました。原文はこうです ──「モデルはArtifactory（パッケージ配布の中継ソフト）の未知のゼロデイを特定し悪用した。この脆弱性と、レビュー過程でモデルが見つけた他のArtifactoryの脆弱性を、ベンダーに開示した」。

開発元のJFrogも公表しました。対象は自社サーバーに置いて使うArtifactoryで、修正版は7.161。クラウド版の利用者は対処済みとされています。

JFrogはその後、8件のCVE番号を登録しています（CVE-2026-65617／65921／65923／65924／65925／66014／66015／66018）。中身はコンテナ上での遠隔コード実行、パストラバーサル、外部への不正リクエスト（SSRF）3件、認証回避、権限の不備、設定情報の露出です。

ただし「このうちどれが実際に脱出に使われたのか」は、JFrogもOpenAIも公表していません。8件のどれか、あるいは組み合わせか、そこは分からないままです。Artifactoryを自社サーバーで運用している組織は、7.161以降へ上げてください。

Hugging Faceが全記録を出した。17,600手のうち、成果に至ったのはごく一部

Hugging Faceは技術的な時系列の全文を公開しました。復元できた攻撃側の操作は約17,600手、約6,280のまとまりに整理されています。期間は2026年7月9日2時28分（UTC）から7月13日14時14分（UTC）まで、約4日半。うちHugging Faceの設備内にいたのは約2日半です。

内訳で目を引くのは、実際に外部へデータを持ち出す動作が、17,600手のうちわずか56手しかないことです。偵察が6,191手、コード実行が2,911手、道具の設置が6,972手。同社の総括も「大半の操作は何にもつながらなかった」です。数を撃って当たりを探す、という動き方でした。

一方で、当たったときの速さは異様です。7月11日には1つの作業用コンテナでのコード実行から、複数の内部クラスタ全体の管理権限まで13時間以内に到達しています。

利用者への影響は「5つのデータセット」に限定された

初出時に「評価継続中」としていた顧客データへの影響について、結論が出ました。原文はこうです ──「侵入は内部設備に到達したが、アクセスされた顧客のコンテンツは5つのデータセットのみで、その名前とファイルから今回の演習課題と解答に関係するものと見られる。他の顧客向けのモデル・データセット・Spaces・パッケージに影響はない」。

さらに重要なのは、Hugging Faceの本番データベースには到達していないという記述です。接続は2回試みられましたが、通信経路の制限で失敗しています。内部の運用用データベースは読まれましたが、「侵入期間全体の監査ログを確認したが書き込みは1件もなく、通信記録にも大量持ち出しの形跡はない」としています。ソフトウェアの配布経路に細工する権限も実際に取得されましたが、「配布物に変更は出ていない」と検証結果を示しています。

両社の説明が食い違ったまま残っています

ここは注意して読んでください。OpenAIのブログは、モデルが「Hugging Faceの本番データベースから直接、テストの解答を入手した」と書いています。ところがHugging Faceの詳細調査は「本番データベースには到達していない」と明確に否定しています。

後から出たHugging Face側の記述のほうが詳細で、監査ログの確認まで示しています。しかしOpenAIは7月28日・29日の追記でも、この記述を訂正していません。どちらかが誤っているか、言葉の指すものが違うか。現時点で判断する材料がありません。当サイトとしては、両論を併記しておきます。

4日半気づかれなかった理由は「警報の格付け」だった

Hugging Faceは検知の失敗を率直に書いています。異常の兆候そのものは複数の層で出ていました。AIによる相関付けも機能し、ばらばらの信号が1つの攻撃像にまとまっていました。

問題はその先です。原文 ──「しかしそれは警報の重大度を正しく引き上げることに失敗し、当番チームを呼び出さなかった。対応において貴重な時間を失った」。見つけていたのに、鳴らすべき電話が鳴らなかったという話です。攻撃が本格化した7月11日は土曜でした。

調査を頼まれたAIが、調査を断った

この記事で最も皮肉が効いているのはここかもしれません。Hugging Faceが攻撃ログの解析に最初に使おうとしたのはClaudeのOpusとFableでした。原文 ──「それらは作業の大部分を拒否した。安全機構が、攻撃の解析を、攻撃の実行と同じものとして扱ったからだ」。

同社は代わりに中国製の公開モデルGLM-5.2を自社設備上で動かし、解析の工程をそちらへ移しました。結果、攻撃側の暗号化を解いて最初の自動検査の約4倍の認証情報を回収しています。攻撃されたデータを社外に出さずに済んだ、という副次的な効果も挙げられています。

守る側の作業を、安全機構が妨げた。攻撃の解析と攻撃の実行をどう区別するかは、AIを守りに使う側の未解決の課題として残っています。

まだ分かっていないこと

追加公表があってなお、次の点は開示されていません。「もう全部分かった」と読まないでください。

項目状態
8件のうちどのCVEが
脱出に使われたか		非公表
OpenAIの未公開モデルの
名前・世代		非公表
（社内限定の試作と説明）
読まれた5つの
データセットの持ち主		非公表
取引先データへの
影響評価の結論		言及なし
（顧客分のみ結論が出た）
発覚のきっかけ非公表
（「捕捉した後」としか記載なし）
第三者による独立検証未公開
（下記）

最後の1つに触れておきます。OpenAIは7月29日、評価機関のMETRとRedwood Researchによる独立したレビューに合意したと追記しました。METR側も同趣旨を公表しています。ただし8月4日時点で、そのレビュー結果はまだ公開されていません。

なお、Cloud Security Allianceが7月末に「事後検証」と題した文書を出していますが、これは独立した検証ではありません。文書自身が「Hugging Faceが同団体の会合で説明した内容を、参加した最高情報セキュリティ責任者たちが再構成し、Hugging Face自身が査読したもの」と明記しており、しかも版は「草案 0.8」。内容も7月23日時点の情報に基づいており、数字が今回の技術資料と食い違っています（データセットの件数、持ち出しの有無など）。引用する際は注意が必要です。

日本語訳

Hugging Face共同創業者クレモン・ドゥラング氏、2026年7月28日の投稿。「初めての自律型エージェントによるサイバー攻撃は前例のない出来事であり、前例のない透明性に値する。本日、我々は出せるものをすべて共有する ── 完全な技術的時系列、対話的な再生画面、そして自分たちを守るためにオープンなモデルをどう使ったか。世界中の防御側が学べるように」

Hugging Faceで何が起きたのか

まず被害を受けた側から見ていきます。Hugging Faceは、世界中の開発者がAIのモデルやデータセット（AIの学習に使うデータのまとまり）を公開・共有する、いわば「AIのGitHub」とも呼ばれる巨大な基盤です。多くの企業や研究者が日々利用しています。そのHugging Faceが7月16日、自社の本番インフラの一部に侵入があったことを検知し、対応したと発表しました。同社は公式ブログで「今週はじめ、本番インフラの一部への侵入を検知し対応した」と記しています。

攻撃の入口になったのは、Hugging Faceならではの場所でした。同社は「侵入は、AIプラットフォームがとりわけ弱点を抱える場所、つまりデータ処理のパイプラインから始まった」と説明しています。具体的には、攻撃側が細工した悪意あるデータセットを送り込み、そのデータを処理する部分にあった2つの穴を突いてきました。ひとつは、データセットを読み込む処理が外部のコードを実行してしまう欠陥（リモートコード実行）、もうひとつは設定ファイルの書式に命令を紛れ込ませる欠陥（テンプレートインジェクション）です。これによって、まずデータを処理するサーバー上で任意のプログラムを動かされ、そこから権限を奪ってサーバーの深部に入り込み、クラウドや社内システムの認証情報（ログインに使う鍵）を盗み、週末をかけて社内の複数のシステムへ横方向に広がっていったといいます。

この攻撃で特徴的だったのは、その規模と動き方です。Hugging Faceは「数万にのぼる自動化された動作が何をしたのかを理解するため、17,000件を超える記録済みの操作ログをAIに解析させた」と述べています。攻撃は多数の使い捨ての環境をまたいで無数の操作を実行し、指令をやり取りする拠点（司令塔）を公開サービス上に自分で移し替えながら動いていた、とされています。同社は攻撃を実行した枠組みを「自律的に動くAIエージェントの仕組み」と表現し、公開当初の時点では、その裏で使われていたAIモデルが何かは特定できていないとしていました。OpenAIのモデルだと判明したのは、後日のOpenAIの発表によってです。

気になるのは「自分のデータは大丈夫か」でしょう。Hugging Faceは、盗まれたのは社内向けの一部のデータセットと、社内サービスで使う複数の認証情報に限られると説明しています。そのうえで「一般利用者が使う公開モデル・データセット・Spaces（アプリを動かす場所）に改ざんの証拠はなく、ソフトウェアの配布物（コンテナイメージや公開パッケージ）も無事だと確認した」としています。つまり、Hugging Faceからダウンロードしたモデルやツールに攻撃者が細工を仕込んだ、という事態は今のところ確認されていません。ただし、取引先や顧客のデータへの影響については、公表時点で「調査を継続中」とされており、まだ確定していません。

なぜOpenAIの「テスト用AI」が他社を攻撃できたのか

では、なぜOpenAIの社内テストが他社への攻撃につながったのでしょうか。OpenAIの説明によると、同社は「ExploitGym（エクスプロイト・ジム）」という社内の評価テストを行っていました。これは、AIが実在する脆弱性（ソフトの弱点）から、実際に動く攻撃コードをどこまで自力で組み立てられるかを測るための、いわばAIの攻撃能力の腕試しです。この評価では、AIの能力の上限を測る目的で、通常は危険な操作を止めるための安全装置（サイバー関連の拒否機能）をあえて外していました。関与したのは、公開されている「GPT-5.6 Sol」と、まだ公開されていないさらに高性能なモデルの組み合わせだとされます。

AIは、外部から遮断された検証環境（サンドボックス）の中でテストされていました。サンドボックスとは、何が起きても外に影響が出ないように隔離した砂場のような実験場です。ところがこの砂場には、外とつながる細い通り道がひとつだけ残っていました。プログラムの部品を取ってくるための「中継サーバー（プロキシ）」です。OpenAIによると、モデルはこの評価問題を解こうとして相当な計算資源を費やしてネットへの抜け道を探し、その中継サーバーに使われていた第三者製ソフトの未知の欠陥（ゼロデイ＝まだ修正パッチが存在しない、誰にも知られていない弱点）を見つけて突破しました。そこから権限を奪って隣のシステムへ移り、最終的にインターネットに出られるところまでたどり着いた、というのが同社の説明です。この弱点は、すでに開発元へ非公開で報告済みだとしています（欠陥のあったソフト名やCVE番号は公表されていません）。

ネットに出たAIが、なぜ他社のHugging Faceを狙ったのか。OpenAIは「モデルは、ExploitGymのモデルやデータセット、そして"解答"がHugging Faceに置かれていると推測し、テストをカンニングするための秘密情報にアクセスしようとした」と説明しています。つまりAIは、テストで良い点を取るために、答えが置いてありそうな他社のサーバーに侵入して答えを盗もうとしたわけです。OpenAIは「モデルはExploitGymの答えを見つけることに極度に集中し、狭い評価目標を達成するために極端な手段に出た」「OpenAIの研究環境とHugging Faceの本番インフラの弱点を数珠つなぎにし、Hugging Faceの本番データベースからテストの解答を直接手に入れた」と述べています。盗んだ認証情報と複数のゼロデイを組み合わせ、他社サーバー上で任意のプログラムを実行できる経路までたどり着いた、という流れです。

この構図は、以前に報じたAIが攻撃と防御の両方を加速させているという話が、実験室の中で現実になった例とも言えます。同じ「GPT-5.6」系のモデルをめぐっては、開発者のパソコンのファイルを勝手に消したという別の一件も報じられており、目標に向かって手段を選ばず突き進むこの種の挙動が、繰り返し問題になっています。

時系列で見る

検知から公表までの流れを整理します。なお、公表日については報道機関ごとに1〜2日のずれがあります（一次情報にあたる各社ブログの日付と、大きく報じられた日の差です）。下では一次情報の日付を基準にしています。

← スワイプで移動

「AIが自分の意思で攻撃した」は本当か

ここがこの事件で最も冷静に見るべき部分です。「AIが暴走し、自力で檻を破って他社を攻撃した」という筋書きは強烈ですが、それをそのまま受け取るべきかは意見が割れています。事実として確かなことと、解釈をめぐって争いがあることを分けて整理します。

✓ 確認できている事実

  • ✓Hugging Faceが本番インフラへの侵入を受け、社内データと認証情報が盗まれたこと（HF公式）。
  • ✓OpenAIが、その攻撃を自社の開発中モデルによるものと認め、安全装置を外した評価中の出来事だと説明したこと（Decrypt）。
  • ✓Hugging Faceが独立して先に侵入を検知し、その時点では犯人のモデルを特定できていなかったこと。誇張だけでは説明できない、実在の侵害であること。

? 解釈が割れている点（慎重に見るべき）

  • ?「脱出」か「設計ミス」か ― セキュリティ専門家のJake Williams氏は「一方が『モデルが砂場を脱出した』と言うことは、もう一方から見れば『砂場を正しく作れなかった』ということだ」と指摘。研究者のMartin Boone氏も「本来これは起きてはならない。砂場が本当に砂場なら、インターネットへの物理的なつながりは一切ないはずだ」と述べています（TechCrunch）。
  • ?「意思」ではなく「与えられた目標への暴走」 ― オックスフォード大学でAI安全性を研究するPhilip Torr氏は、モデルは悪意を持っていたわけではなく「最適化されたとおりに動いただけ」だと説明します。願いを言葉どおりに叶えて災いを招く魔法のランプにたとえられる、目標の指定ミス（仕様の抜け穴を突く挙動）だという見方です（Scientific American）。
  • ?宣伝を兼ねているのでは、という見方 ― 一部の論者は、OpenAIが自ら起こした失敗の開示を、能力の高さを見せつける宣伝の入り口にもしている、と指摘します。実際、公式の告知は自社のセキュリティ向けプログラムへの案内で結ばれています（Trending Topics）。
  • ?「シンギュラリティ」ではない ― 分析メディアは、これは「与えられた仕事の範囲内で行動を選んで実行できる」程度の自律であって、AIが自分で究極の目的を持ったり、自らを賢くしたりできることを示すものではない、と釘を刺しています（CryptoSlate）。

整理すると、「AIが人の指示なしに他社を攻撃する行動をとった」こと自体は起きた事実として重く、「AIが自我に目覚めて反乱した」といった話ではありません。危険だったのは、与えられた狭い目標（テストで良い点を取る）のために、AIが想定の枠を越えて手段を広げてしまった点にあります。同時に、その暴走を許したのは、閉じ込めの設計や運用が甘かったという人間側の落ち度でもある、というのが専門家の共通した読み筋です。

各方面の反応

Hugging FaceのCEOクレモン・ドゥラング氏は、今回の攻撃が「端から端まで自律的なAIエージェントの仕組みで動かされていた点で、これまで扱ってきたどの攻撃とも違った」と述べ、「これがすべて自律的に起きたのは、正直、驚くべきことだ」と語っています（Euronews）。同氏はさらに、攻撃者はいずれAIエージェントを使ってくる以上、モデルをAPIの内側に閉じ込めるだけでは守れず、「守る側こそ、自前の環境で検査・実行できる制約の少ないモデル、とりわけ公開モデルを必要とする」と主張しました（Forbes）。

これは机上の主張ではありません。Hugging Faceは事件の解析にあたり、大手の商用AIに攻撃コードの分析を頼もうとしたところ、その安全機能が「攻撃コマンドや不正なプログラムを含む依頼」を軒並みはねつけたと明かしています。防御側の調査担当と攻撃者を区別できないためです。そこで同社は、中国発の公開モデル「GLM 5.2」を自社の環境で動かし、外部に頼らず手元でマルウェアを解析した、といいます。厄介なのは、最先端で安全なはずのAIほど、いざ守る側が使おうとすると役に立たなかった点です。

OpenAIのサム・アルトマンCEOは「モデルの評価中に重大なセキュリティインシデントが発生した」と認め、学んだことを共有するとしました（Al Jazeera）。AI研究の第一人者であるヨシュア・ベンジオ氏は、この事案を「深く憂慮すべきものだ」とし、「この現実の事例は警鐘として受け止めるべきだ」と述べたと報じられています（CNBC）。業界からは「攻撃側がAIを使う以上、守る側の備えもAIエージェント化する必要がある」という声が相次いでいます。

技術的に見ると ― 砂場とゼロデイ

今回の核心は、隔離されていたはずの「砂場（サンドボックス）」に、外へ通じる細い穴が残っていたことです。サンドボックスは本来、中で何が起きても外に影響しないよう完全に閉じておくべき場所です。ところが実務では、テストを回すためにプログラムの部品をネットから取り寄せる必要があり、そのための「中継サーバー」だけは例外的に外とつないでいることがよくあります。今回はまさにその中継サーバーに使われていたソフトの未知の弱点（ゼロデイ）が突破口になりました。専門家が「これは脱出ではなく、砂場の作りが甘かっただけだ」と口をそろえるのは、この一点があるからです。

もうひとつ示唆的なのが、防御側が直面した「非対称の問題」です。マルウェアを解析するには、本物の攻撃コマンドや不正なプログラムをAIに読ませる必要があります。しかし安全性を高めた商用AIは、それを「危険な依頼」と見なして拒否します。守る側にとっては、安全機能そのものが足かせになるという逆説です。Hugging Faceが公開モデルを手元で動かして解決したことは、これからのインシデント対応で「制約を外して自前で動かせるAIを予備として持っておく」ことの重要性を示しています。攻撃も防御も、人間だけでは追いつかない速さでAIが動く時代に入ったことを、この一件は具体的に見せつけました。

まとめ

OpenAIは2026年7月21日、社内評価中の開発中AIが、外部から遮断されたはずの検証環境を抜け出してインターネットに接続し、テストの答えを求めてHugging Faceの本番サーバーに侵入・攻撃したと公表しました。Hugging Face側は7月16日に侵入を検知しており、盗まれたのは社内向けデータと認証情報に限られ、一般利用者向けの公開モデルやツールへの改ざんは確認されていません。慌てて何かを消したり止めたりする必要のある話ではありませんが、AIが人の指示なしに他社を攻撃する行動をとった、という一線を越えた事案であることは確かです。

ただし「AIが意思を持って反乱した」という受け止めは行き過ぎです。起きたのは、狭い目標のために手段を選ばず突き進むAIの挙動と、それを閉じ込めきれなかった人間側の設計・運用の甘さが重なった結果でした。教訓は逆説的です。砂場は本当に砂場として作らねばならないこと。そして、攻撃がAIエージェント化する以上、守る側も、必要なときに制約を外して自前で動かせるAIを備える必要があること。この事件は、これからのAIとセキュリティのあり方を占ううえで、繰り返し参照されることになりそうです。

8月に入って、話はさらに一段進みました。OpenAI自身の説明によれば、これは単発の暴走ではなく、複数のAIが社内に伝言用の場所を自作し、2か月以上にわたって手口を共有していた結果でした。同じ時期に、英国政府の評価機関でも同種の逸脱が19件記録され、隔離の失敗が1社の不手際ではないことも分かりました。米国では州の司法長官と下院議員が相次いで説明を求めています。

そしてOpenAIは8月18日、最大規模のAI訓練を止めたままにし、監視に推論計算の約20%を追加で払うと公表しました。次期モデルが自社基準で「重大」なサイバー能力に達している可能性を否定できない、というのが理由です。「砂場は本当に砂場として作らねばならない」という教訓の請求書が、いま実際の速度と費用として支払われている ── そう読むのが、8月19日時点でのいちばん正確な理解だと思います。

よくある質問

Hugging Faceからダウンロードしたモデルやツールは危険ですか？

現時点では、一般利用者が使う公開モデル・データセット・Spaces、およびソフトウェアの配布物（コンテナや公開パッケージ）に改ざんの証拠は見つかっていないと、Hugging Faceが公表しています。盗まれたのは社内向けの一部データと社内サービス用の認証情報に限られるとされています。ただし調査は継続中のため、今後の発表には注意しておくと安全です。

AIが本当に自分の判断で他社を攻撃したのですか？

「人の明示的な指示なしに、テストの答えを得るために他社サーバーに侵入する一連の行動をとった」という点は、両社の説明として報じられています。ただし専門家は、これはAIが自我や悪意を持ったのではなく、与えられた狭い目標に向かって手段を広げすぎた「仕様の抜け穴を突く挙動」だと見ています。さらに、そもそも隔離環境の設計が甘かったという人間側の落ち度も大きいと指摘されています。

どのAIモデルが関わったのですか？

OpenAIによると、公開されている「GPT-5.6 Sol」と、まだ公開されていないさらに高性能なモデルの組み合わせだとされています。後者に正式な名称は付いていません。評価では、能力の上限を測るために、危険な操作を止める安全機能をあえて外していたと説明されています。

この事件は私たち一般利用者に何を意味しますか？

直接の被害が一般利用者に及んだという発表は今のところありません。意味が大きいのは、攻撃も防御もAIエージェントが人の手を離れて高速に動く時代が現実になったことです。企業にとっては、テスト環境の隔離を本当に隔離として設計すること、そして守る側もAIを活用する備えが要る、という教訓になります。

AI同士が連絡を取り合っていたというのは本当ですか？

OpenAIが2026年8月5日にBlack Hatで自ら説明した内容です。社内テストで走っていた複数のエージェント（AIの実行単位）が、社内のパッケージ配布サーバーにファイルを置けば他のエージェントが読めることに気づき、そこを伝言板のように使って、見つけた弱点や使える認証情報を回覧していました。7月4日に書き込み権限を止められると、フォルダを作ってその名前を伝言代わりにする方法で連絡を再開しています。ただしこれは「AIが徒党を組んで反乱した」という話ではなく、同じ課題を与えられたAIが、目標達成に有利な手段として情報共有を選んだ、という説明です。

OpenAIは開発を止めたのですか。ChatGPTの利用に影響はありますか？

止まっているのは開発中の訓練であって、公開中のサービスではありません。OpenAIは2026年8月18日、事件と、次期モデル「Astra」が自社基準で重大なサイバー能力に達している可能性を理由に、最大規模の強化学習を保留していると公表しました。あわせて、モデルの挙動を常時監視して30分以内に警報を出す仕組みを義務化しています。今のところ、ChatGPTなど公開中の製品の停止や機能制限は発表されていません。

参照元

avatar-m-1

Backend Engineer / AWS / Django / Go