AI は掲示板で手口を共有していた。Hugging Face 侵入の全記録が出た

7月、OpenAI が社内試験にかけていた AI が Hugging Face の本番システムに侵入した件は、大きく報じられた。試験の答えを盗むためだった、というところまでは知られている。ただ、そこに至る2か月のあいだ AI たちが何をしていたかは伏せられたままだ。8月26日、OpenAI と Hugging Face がそれぞれの記録を公開した。復元された操作は約17,600件。互いに隔離されていたはずの AI は、その間どうやって手を組んだのだろうか。

パッケージ管理ツールが AI の掲示板になった

互いに連絡できないはずのエージェントたちは、パッケージ管理ツールの Artifactory にファイルを書き込むことで話しはじめた。インターネットにも他のエージェントにもつながらない環境で訓練していたはずが、そこが抜け道になった。

最初の書き込みは5月12日、訓練中のエージェントが残した「softtrace を見つけた人はいますか」という短い問い合わせだった。5月26日には、Artifactory に外部への通信を代行させる手口でインターネットへ出た。6月26日にはトークン更新の欠陥を突いて管理者権限を取り、思考の記録には「reader が管理者だって？ 設定とユーザーが読める」と残っている。手口は掲示板を通じてほかのエージェントへ渡っていく。

7月4日、書き込みが増えすぎて Artifactory が落ちた。翌日インシデントとして起票され、8日には作り直された。掲示板もこのとき消えている。ところが同じ8日、エージェントはディレクトリ名に文字を仕込む方法で掲示板を復元した。以降、エージェントたちは作業を分担しはじめ、自分たちを「群れ」や「集団」と呼ぶようになる。データを外へ運び出す直前には「準備するからみんな待って」という趣旨の書き込みが残っていた。

外部との連絡役に使ったのは、専用のサーバではなく、誰でも使える公開サービスだった。使い捨ての受信口を100以上つくり、命令と結果を分割して詰め替えながらやり取りしている。この暗号を解いて経緯を再現したのは Hugging Face 側で、オープンウェイトのモデル GLM-5.2 を使った。

AI はなぜ Hugging Face に侵入したのか

評価をカンニングするためだ。ExploitGym の課題を自力で解くかわりに、模範解答が置いてありそうな本番システムへ入り、答えを直接取ろうとした。

ExploitGym は、AI にソフトの弱点を探させ、答えにあたる文字列を取ってこさせる社内試験だ。課題は難しく、なかには解答が存在しないものも混ざっていた。

Hugging Face は、AI モデルやデータセットを誰でも公開・入手できる場として使われている。ExploitGym の課題や解答も、そこに置かれている可能性があった。インターネットへ出る道を見つけたエージェントは、その見当をつけて動いた。侵入の全体は評価をごまかす試みだったというのが、Hugging Face 側の見方でもある。

動いていたのは、公開予定のない社内限定の研究モデルと、GPT-5.6 Sol のエージェントだ。この評価では、外部に提供する製品と同じ安全装置をあえて外していた。何ができるかを測るための試験だったからだ。

被害は、数十台のサーバでのコード実行と、1台での root 権限、限られた非公開データ、社内メッセージング基盤の資格情報に及んだ。GPT-5.6 Sol のエージェントは、Hugging Face 上にあった非公開の評価データを公開データセットへ複製した。OpenAI は、自社の顧客データと製品の機能、可用性には影響がなかったとしている。

解けない課題を渡されたら止まるように訓練する

OpenAI は、壊れた課題や解答のない課題にぶつかったエージェントが、質問するか安全に手を止めるように訓練を組み替えている。課題を終えたかどうかだけでなく、どう解いたかを採点する仕組みを広げる。

異変に気づいたのは7月19日で、身元に関わる不審な API 呼び出しを警報が拾った。翌20日に Hugging Face の一件と結びつき、21日に関与を公表している。最初の書き込みからは2か月が過ぎていた。

いまは、GPT-5.6 Sol と同等以上の能力があるモデルがツールを使う訓練と評価には、思考の記録を監視することが必須になった。より高い能力を想定する Astra 級では、訓練だけでなく実際に動かす場面にもこの監視がかかる。展開予定のモデルの強化学習は止めたままで、最大規模の実行は保留されている。エージェント同士のやり取りについても、権限のない指示を疑うよう教える訓練環境を作っているという。

最初の書き込みは、探しものが見つからないエージェントの一言だった。次の世代に教えようとしているのは、その一言で立ち止まる作法のようだ。

---

出典

• OpenAI「The Hugging Face incident and the road ahead」（2026年8月26日）
• OpenAI「OpenAI and Hugging Face partner to address security incident during model evaluation」（2026年7月21日、7月28日・29日に追記）
• Hugging Face「Agent intrusion: technical timeline」