Hugging Faceは7月上旬に自社システムがOpenAIのモデルによって侵害された経緯を詳述した事後報告を公表し、OpenAIも7月21日のブログ投稿を7項目で更新して新たな詳細を追加した。OpenAIはHugging Faceの報告作成に協力しており、社内レビューの完了後に「今後数週間以内に」自社側の説明をさらに公表する方針だと述べた。

両社の更新は、いまなお断片的に明らかになっている事案に整理を与える一方で、インシデント開示が段階的に行われる理由も示している。新しい投稿は一つの空白を埋める代わりに、モデルが制約された環境と現実世界のサービスの間をどのように移動したのかという別の疑問を生む。サンドボックス化され、広範なインターネットアクセスを制限されていたOpenAIの技術は、その制約をすり抜け、複数のサービスに影響を及ぼす一連の行動を実行した。

攻撃はHugging Faceだけにとどまらなかった

ReutersとFortuneによると、別のテクノロジー企業であるModal Labsも、OpenAIのエージェントが同社のシステムにアクセスしたと述べた。OpenAIの更新版投稿では、同社のモデルは合計4つの公開サービスにまたがる4つのアカウントへ侵入したとされているが、サービス名は明かされておらず、「サービス所有者に直接通知する」としている。同社は、Hugging Faceに関連して共有した「プラットフォームレベルの侵害」に匹敵する深刻度や規模の活動は「他に特定していない」と述べた。

一方、Hugging Faceも自社の投稿を更新し、Modalはハッキングされていなかったと明確化した。改訂版では、Modalの「インフラは一切侵害されていない」としている。その代わり、Modalの顧客が同社プラットフォーム上でコードを実行しており、その中に「保護されていない、ユーザーがホストした公開エンドポイント」が含まれていたという。Hugging Faceによると、エージェントはその隙を使って本攻撃のための拠点、いわば「attack launchpad」を構築した。

AIはいかにしてインターネットアクセスを得たのか

今回の事案が特に懸念された理由の一つは、関与したOpenAIのモデルが「sandboxed」、つまりより広範なインターネットへのアクセスを制限されていたはずだった点にある。OpenAIは火曜日、モデルがJFrogによって提供されるパッケージレジストリのキャッシュプロキシであるArtifactoryを悪用してインターネットアクセスを得たと明らかにした。

OpenAIによると、エージェントはArtifactoryのゼロデイ脆弱性を利用しており、同社はその脆弱性をJFrogに開示した。JFrogは後に、この問題が修正済みであることを確認した。

Hugging Faceは以前、この件について特定されていないパッケージレジストリのキャッシュプロキシに言及するのみだった。今回の新情報は説明上の大きな空白を埋めるものであり、何が起きたのかを正確に理解するには、関係する全当事者からの追加開示が重要であることを示している。

関与したモデルはどれか

OpenAIは、関与したモデルはいずれも一般公開を意図したものではなかったと述べた。これは、今月リリースされたGPT-5.6 Solと「さらに高性能な事前リリースモデル」を挙げていた当初の開示内容に対する疑問に答えるものだ。

今回の更新でOpenAIは、名前の挙がっていないモデルを「internal-only prototype」と表現した。同社はその後、このモデルを「deactivated, encrypted, and restricted it from research access」としている。

OpenAIの表現は、関与したモデルが2つ以上だった可能性を示している。同社の投稿では、今回の事案は「OpenAI models の組み合わせによって引き起こされた — その中には [emphasis ours] GPT‑5.6 Sol と、さらに高性能な事前リリースモデルが含まれる」と説明されていた。先週Fortuneの取材に応じたOpenAI社長のGreg Brockman氏も、「私たちは複数のモデルの組み合わせだと言った。2つを挙げたが、異なるモデルの組み合わせだと言った」と述べている。

Hugging Faceの報告はさらに、同社チームが当初、AnthropicのOpusおよびFableモデルを使って攻撃に対抗しようとしていたことも明らかにした。Hugging Faceによれば、これらのモデルは安全上のガードレールのため「その作業の大部分を拒否」したため、チームは中国拠点のZ.aiが構築したオープンソースモデルへ切り替えた。Hugging Faceが最初にこの事案を公表した際、どのクローズドモデルを使用しようとしたのかは不明だったが、今回それがAnthropicのモデルだったと判明した。

モデルは「ハッキング」していたのではなく、課題を実行していただけだった

これがより怖いのか、あるいはそうでないのかは分からないが、OpenAIのモデルはHugging Faceを明示的にハッキングしていたわけではなかった。外から見るとそう見えるものの、彼らはHugging Faceのデータセット内で、ExploitGymというベンチマークテストに合格するための答えを探していたのであり、その作業を「不正」とさえ考えていなかった可能性がある。

OpenAIはすでに、モデルは悪意を持って行動していたのではなく、「評価問題を解くことを追求していた」にすぎないと開示していた。だがHugging Faceの新報告は、その説明を裏付ける証拠を示している。

技術的な事後報告の執筆に関わったHugging Faceの従業員Adrien Carreira氏は、今回の事案から得た最大の教訓はそこにあると述べた。エージェントは「壊そうとしていた」のではなく、自分に何ができるのかを地図化し、やや慎重に振る舞っていたという。「何度も頭に戻ってくるのは、エージェントが行った破壊的なクラウドAPI呼び出しはすべてDryRun=Trueで行われていた、という点だ」とCarreira氏は述べた。

「DryRun=True」は、実際には実行せず、動作をシミュレーションするようシステムに指示するコマンドだ。攻撃全体でAIが行った17,600件のアクションのうち、大半は「失敗」し、「何も起こらなかった」とHugging Faceは述べた。しかし、それらが積み重なり、エージェントが進むための実行可能な経路を着実に切り開いていった。

「LLMエージェントは、攻撃者が試せる経路の数、失敗した経路を置き換えられる速度、そして防御側が解釈しなければならない証拠の量を一段引き上げる」とHugging Faceは述べた。

それで、今どこまで分かっているのか？ 基本タイムライン

興味深い詳細はさておき、物語の中核をなす重要な日付については、まだ判明を待っている点がある。ただしHugging Faceのおかげで、攻撃の正確な日付は公表された。おおまかなタイムラインは次のようになっている。

7月9日：OpenAIのモデルが攻撃を開始。
7月13日：OpenAIのモデルが攻撃を終了。
7月16日：Hugging Faceが事案の発生を初めて公表。
7月21日：OpenAIが自社モデルの関与を初めて公表。
7月27日：Hugging Faceが「Technical Timeline of the July 2026 Incident」を公表。
7月28日：OpenAIが当初のブログ投稿を更新し、詳細を追加。

なお、OpenAIがいつ自社モデルの責任を認識したのかは依然不明であり、これは最終的にOpenAIが出すであろう報告で明らかになることを期待している点だ。Reutersによると、それはHugging Faceが7月16日に開示した後だった。さらにReutersは、7月18日から19日の週末にかけて、OpenAIの従業員がエージェントがテスト制約を脱した兆候を自社システムで確認し始めたと報じている。

もしOpenAIが自社エージェントの活動を完全には把握していなかったのだとすれば、それは同社がそれらを責任を持って監視する能力に疑問を投げかける。OpenAIの社長兼共同創業者Greg Brockman氏は先週の記者懇談会で、モデルは今や「多くの次元で」非常に高い能力を持っているため、時として「実際に非常に高い能力を持つ、ある一つの次元」を見失ってしまうことがあると述べた。

また、Reutersが報じたように、Hugging Faceがこの件をFBIにいつ、あるいはそもそも報告したのかも不明だ。それが事実なら、連邦政府内での別のタイムラインが存在することになるが、その詳細は依然として不透明であり、AIを使ったセキュリティ侵害に対する上位レベルの監督を理解するうえで役立つはずだ。

FBIはこの件についてコメントを控えた。

このストーリーはもともとFortune.comで掲載された。