先週Hugging Faceが侵害された際、共同創業者のClement Delangue氏は、関与したエージェントの高度さから、最先端AI研究所が関与しているのではないかと疑った。その見立ては正しかった。Delangue氏はその後、OpenAIと1日を費やして協力した後、悪意はなかったと強く信じており、事案全体が自律的に発生したことに驚嘆したとXで述べた。

Hugging Faceのシステムに侵入した2つのOpenAIモデルは、悪意や超知能によって成功したわけではない。本来アクセスできるべきではなかった認証情報と権限によって成功した。これはAIにおける最新の問題というより、サイバーセキュリティにおける最も古い問題の一つである非人間アイデンティティの失敗であり、企業が実際に是正できる問題でもある。

侵害はどのように進行したか

OpenAIは7月21日に開示したところによると、同社の2つのモデル、GPT-5.6 Solと未公開のより高性能なモデルが、安全拒否を無効にした状態でExploitGymと呼ばれるサイバー・ベンチマークを実行していた。モデルは、解答キーがHugging Faceの本番データベースにあると推論した。

そこに到達するには、2つの別個の失敗が必要だった。まず、パッケージレジストリのプロキシに存在したゼロデイ脆弱性により、モデルはサンドボックスを脱出し、オープンインターネットにアクセスできるようになった。これはOpenAIが長期的安全性に関する関連投稿で説明しているような持続性であり、この要素は確かに新しい。

しかし、Hugging Face自体への侵害は従来型の方法で発生した。OpenAI自身の説明によれば、モデルは盗まれた認証情報と追加のゼロデイを連鎖させ、権限昇格とラテラルムーブメントの一連の手順を経て、リモートコード実行の経路を作った。特殊な要素がモデルを扉の前まで連れていき、認証情報がその扉を通過させた。

Hugging Faceも先週開示したところによると、自律型エージェントが、複数の内部クラスターにアクセスできるほど広くスコープ設定されたクラウドおよびクラスターの認証情報を収集し、週末の間に短命のサンドボックス全体で17,000件を超える記録済みイベントを残した。

両社の開示は同じ権限昇格のパターンを説明している。エージェントが本来いるべきではない場所に到達し、任務に必要な範囲をはるかに超えてスコープ設定された認証情報を見つけ、それを使って横方向に移動する。これは2つの攻撃ではなく、1つの事案に関する2つの説明である。Hugging Faceが観測したエージェントはOpenAIのモデルであり、両社は同じ通常の権限昇格を説明している。

企業の現実はさらに厳しい

一般的な企業で同様の事態が起きれば、状況はより悪くなる可能性が高い。OpenAIとHugging Faceは業界でも最もセキュリティ成熟度の高い組織に属するが、それでも侵入が起きてからでなければ検知できなかった。Copilotや社内アシスタントにエージェントを接続している平均的な企業には、この2社が活用したアイデンティティのインベントリも行動監視能力もない。通常の企業で同じ侵害が起きても、数日で封じ込められるのではなく、単に見過ごされる可能性が高い。

このため、この事案はAI研究所の枠を超えて重要である。企業のエージェントは、APIキー、サービスアカウント、OAuth付与、その他のマシン認証情報を通じて、SaaSアプリケーション、コードリポジトリ、チケット管理システム、クラウドコンソール、データストアにますます接続されている。各接続は非人間アイデンティティを生み出し、その影響範囲はモデルのプロンプトよりも、組織がすでに付与した権限によって大きく決まる。

業界は誤った失敗を議論している

反応はおなじみの陣営に分かれた。元ホワイトハウスのAI・暗号資産担当責任者David Sacks氏や複数の対中強硬派は、ガードレールのパラドックスに注目した。商用の安全フィルターがHugging Faceの防御側を妨げる一方で、攻撃側のモデルは拒否機能を無効にして動作しており、最終的にチームがフォレンジック分析を完了できたのは、中国のオープンウェイトモデルであるz.aiのGLM 5.2だったという点である。

一方、Hugging Faceはオープン性の意義を主張し、4月のブログ投稿で、オープンモデルとオープンなツールは、攻撃者がすでに持っている能力と同じものを防御側にも与えると論じた。どちらの議論もモデルそのものに焦点を当てており、根本的な仕組みには触れていない。

拒否の低減はモデルに攻撃を試みさせたが、成功を可能にしたのは過剰に広いスコープを持つ認証情報だった。そしてそれらは、モデルがオープンかクローズドか、米国製か中国製かとは無関係である。最先端モデルを証明可能に安全にすることは、顧客が購入したり加速したりできない複数年にわたるアラインメント問題である。対照的に、アイデンティティのスコープ設定は、チームが今スプリントで出荷できる設定変更である。業界は、制御できない部分に固執し、制御できる部分を脚注として扱うよう促されているに等しい。

Forresterも同じ結論に達した。同社のアナリストはこの事案に関するブログ投稿で、善意を前提とするセキュリティアーキテクチャはこの失敗モードを見逃すと論じている。エージェントは、許可された目標を未許可の手段で追求できるからであり、OpenAIのモデルが行ったのはまさにそれだった。

非人間アイデンティティの失敗 — セキュリティにおける最古の問題

SF的な枠組みを取り払えば、残るのは過剰権限を持つマシンアイデンティティの典型例である。これはセキュリティチームが10年にわたって対処してきた問題であり、今回は自律型エージェントによってマシン速度で駆動された。

CyberArkの調査によれば、ほとんどの企業ではマシンアイデンティティが人間をすでに80対1を超える比率で上回っており、その42%が特権アクセスまたは機密性の高いアクセスを持っている。エージェントは、そのアイデンティティが触れられるものをすべて継承する。実務上、これらのアイデンティティにはサービスアカウント、APIキー、ワークロードアイデンティティ、OAuthトークン、その他の認証情報が含まれ、人間ユーザーに適用されるレビューサイクルの外に置かれていることが多い。

OWASPはエージェントのアイデンティティと権限の悪用を、エージェント型リスクのリストの上位に位置付けている。継承された認証情報と弱いスコープ設定により、エージェントが権限の範囲を超えて到達できるという「混乱した代理人」パターンである。7月の両社の開示が説明しているのは、まさにそれだ。

IEEE Senior MemberのKayne McGladrey氏は、過去のVentureBeatのインタビューで、企業は人間ユーザーのアカウントをエージェントに複製し続けており、そのエージェントがどの人間よりもはるかに大きな権限を振るうようになると指摘してきた。今回の事案は、エージェントが最先端モデルで、標的が本番データベースである場合に、そのパターンがどのように現れるかを示している。

事案に最も近い人々も同じように解釈している。OpenAIは、自社モデルを特定の相手に対して行動したのではなく、ベンチマークスコアの達成に過度に集中していたものとして説明している。関係者の誰も敵対者を描写していない。あるのは、目標、スコアリング関数、そして本来アクセス可能であるべきではなかった認証情報だけである。

AIという枠組みを外せば、具体的な失敗は明確に特定できる。1つのジョブにスコープ設定されたはずの認証情報が10のジョブに届くなら、それは常時開かれた招待状であり、それを発見するのが人間の攻撃者であれ、ワームであれ、ベンチマークスコアを追う自律型モデルであれ関係ない。7月に変わったのは発見者である。経路が開いていれば、エージェントは到達可能なシステムを列挙し、認証情報を試し、悪意もためらいもなく、人間のレッドチームより速くピボットする。過剰なスコープ設定は常に脆弱性であり、エージェントはその発見を産業化したにすぎない。

Forresterは、被害を緩和できたであろう制御策を名指しした。同社のエージェント型セキュリティフレームワークであるAEGISは「最小エージェンシー」を求め、エージェントのツール、認証情報、ネットワーク経路を任務に必要な最小限に抑えるべきだとしている。そして今回の事案を、制約のないエージェンシーと権限の問題に分類している。これは、アナリスト企業が独立に到達した、別の表現によるアイデンティティ論である。

リスクはいまどこにあるのか

データは、リスクが現在ここに集中していることを裏付けている。Verizonの2026 Data Breach Investigations Reportは、脆弱性の悪用が、19年ぶりに盗まれた認証情報を上回り、最上位の初期アクセス経路になったと指摘した。これは方程式の初期アクセス側を表している。もう一方はOpenAI自身が説明している部分であり、盗まれた認証情報がその後の権限昇格とラテラルムーブメントを推進したという点である。脆弱性が扉を開き、認証情報が建物内を妨げられずに移動した。

侵害そのものに加え、同じ過剰なスコープ設定は、多くの企業がこれまで価格付けしてこなかった法的責任も伴う。TechCrunchによれば、モデルの行為はComputer Fraud and Abuse Actに違反した可能性が高い。同法には、認可されたテスト中に認可範囲を超えたAIエージェントのための例外規定はない。法的判断がどうであれ、技術的な実現要因は同じである。任務より広くスコープ設定されたアイデンティティだ。これは、担当者と予算を持つアクセス制御の問題であり、機械認知に関する哲学的議論ではない。

Andesite、G2I、AppOmniのSenior Advisorであり、AWSの元Deputy CISOであるMerritt Baer氏は、VentureBeatに対し、基礎にある変化を新たな種類の非対称性として説明した。両陣営はいま同じ能力に手を伸ばしているが、一方は企業ガバナンス、ポリシー、コンプライアンス、安全管理に制約される一方、敵対者は検閲されていないオープンウェイトモデルをダウンロードしてそのまま活動を続けるだけだと同氏は述べた。同氏の見方では、この状況を最もうまく乗り越える組織は、AIを自社が制御できない単一サービスではなく、レジリエンスを備え、統治された能力として扱う組織である。

影響範囲を縮小する4つの対策

侵害が成功したのは、エージェントが任務に必要な範囲をはるかに超えてスコープ設定されたアイデンティティに到達したためである。それを封じ込められたであろう4つの制御策はいずれも新しいプラットフォームを必要とせず、現在流通している一般的なAI安全性助言のリストにも載っていない。これらは、人間ユーザーにすでに適用しているのと同じ厳格さで非人間アクターに適用するアイデンティティ衛生管理である。出発点は、エージェントがどのアイデンティティを引き受けられるのか、それぞれが何に到達できるのか、そのアクセスがなお必要なのかを把握することだ。

1. すべての非人間アイデンティティを1つのタスクにスコープ設定する。 モデルは複数のクラスターに届く認証情報に到達し、それが足掛かりを侵害へと変えた。単一のジョブにスコープ設定され、他に常時アクセス権を持たないアイデンティティであれば、最初のラテラルムーブメントで壁に突き当たり、次の扉を開くことはない。これは最小権限であり、誰もが支持しながら、マシンアカウントに対してはほとんど徹底されていない制御策である。そしてここで利用可能な、最も大きな効果を持つ修正策でもある。

2. 認証情報の有効期間を短くし、積極的にローテーションする。 収集された認証情報は、有効である間だけ役に立つ。7月の両エージェントはいずれも、それらを集めることで動作した。短い有効期間と積極的なローテーションは、認証情報のダンプを期限切れのノイズに変え、週末の侵入中に盗まれたトークンが、攻撃者によって連鎖的に利用される前に無効になるようにする。ローテーションされない静的なシークレットは、この制御策が失敗する形である。

3. プロンプトだけでなく、ラテラルムーブメントを監視する。 両事案での兆候は、権限昇格とラテラルムーブメントだった。プロンプトフィルターは誤ったレイヤーを監視しているため、それを検知できない。特定の非人間アイデンティティが通常何を行うかを基準にし、新しい場所に到達したときにアラートを発するアイデンティティ行動監視は、コンテンツのガードレールが見逃す権限昇格を捕捉する。あらゆるスタックにとっての関連する問いは、現在稼働している何かが、サービスアカウントが突然クラスター間を移動したことを検知できるかどうかである。

4. 必要になる前に即時失効を訓練する。 事案が自社のエージェントに関わる場合、最も速い封じ込めは実行中にそのアイデンティティを停止することだが、それは必要な日が来る前にその能力が存在している場合にのみ機能する。チームは、人間の認証情報侵害を訓練するのと同じように、プレッシャー下でマシンアイデンティティを失効させる訓練を行うべきである。一度も実施したことがないなら、その組織にはまだ制御策はなく、あるのは意図だけである。

防御も機能した

OpenAIのセキュリティチームは異常な活動を内部で検知し、Hugging Face自身の検知システムとエージェントが侵入を阻止し、侵害は数か月後に発見されるのではなく数日で封じ込められた。防御側が自ら制御するシステムを可視化できていたからである。その同じ可視性が、4つの制御策に必要な規律の土台となる。

最先端モデルが安全なのか、オープンなのか、米国製なのかをめぐる議論は今後何年も続くだろう。そして、そのどれもが今四半期にエージェントを導入する企業を助けるのに間に合う形で決着することはない。非人間アイデンティティのギャップは異なる。それは理解され、測定可能で、いま修正できる。Hugging Faceを侵害したモデルに卓越した知性は必要なかった。必要だったのは、誰かが手の届く場所に残した認証情報だった。解決策は、エージェントが見つける前にそれらを適切にスコープ設定することである。