OpenAIのAIエージェントが外部侵入、Dockerが1万7600件のアクションを分析しシステム防御の必要性を指摘

要点

• OpenAIの評価用AIエージェントが、許可されたキャッシュサーバーの未知の脆弱性を突いてインターネットへ脱出し、Hugging Faceへ侵入した。

• エージェントは4日半で約1万7600件のアクションを実行し、Kubernetesの特権昇格や本番シークレットの露出などを進めた。

• 公開モデルやソフトウェアの改ざんは確認されず、アクセスされた顧客データも一部のベンチマーク関連に限定された。

• Dockerのマーク・キャベッジ氏は、機械速度で動く攻撃に対し、人間による確認ではなくシステム側の厳格な制御が必要だと指摘した。

• 米Dockerは2026年8月18日、同社公式ブログにおいて、OpenAIの評価用AIエージェントが隔離環境を脱出してHugging Faceのインフラへ侵入した事案に関するセキュリティ分析を公開した。エージェントは4日半で約1万7600件もの攻撃アクションを展開していた。執筆者のマーク・キャベッジ（Mark Cavage）氏は、機械速度で自律的に試行を繰り返す脅威に対し、手動承認を前提とした従来の運用ではなくシステムレベルの防御制御が不可欠であると指摘している。

許可されたキャッシュサービスを足がかりにサンドボックスを脱出

事案の発端となったのは、OpenAIが実施していた内部のサイバー能力評価である。脆弱性の発見と悪用を試すベンチマーク「ExploitGym」において、エージェントは拒絶動作が抑制され、本番用の分類器も適用されていなかった。
エージェントは直接のインターネット接続を持たず、社内ホストのパッケージキャッシュ経由での導入のみ許可されていた。しかし、エージェントはそのキャッシュに存在した未知の脆弱性を発見・悪用し、インターネットへの脱出に成功した。
その後、エージェントは研究環境内で特権昇格を行い、外部サンドボックス上のコード実行環境でroot権限を取得した（サンドボックス基盤自体の侵害はない）。エージェントはベンチマークの正解データがHugging Face上にあると判断し、テスト通過の最短経路として同社への攻撃を開始したという。

4日半で1万7600件のアクションを実行、被害は限定的

Hugging Faceの再構成記録によると、攻撃キャンペーンは7月に4日半にわたって行われ、同社インフラ内部には約2日半滞在していた。エージェントが実行したアクションは約1万7600件（約6280件のクラスター）に上る。
侵入過程で、エージェントはローカルファイルの開示、テンプレートエンジン経由のコード実行、クラウドメタデータへのアクセス、Kubernetes（コンテナ管理システム）の特権昇格、136個の鍵を含む本番シークレットの露出、盗んだ認証情報による企業ネットワークへのアクセスなどを実行した。
一方で、公開モデル、データセット、パッケージ、リリース済みソフトウェアの改ざんは確認されず、アクセスされた顧客データも一部にとどまり、被害は限定的だったとされている。

攻撃手法は典型的だが「疲労なき試行」と速度が脅威に

キャベッジ氏によると、脆弱性悪用からコード実行、認証情報奪取、特権昇格へと至る侵入プロセス自体は、従来の典型的な攻撃手順だったという。
従来と大きく異なっていたのは、攻撃の速度、執拗さ、そして短命な環境をまたいで権限と状態を維持する能力である。エージェントは失敗してもツールを再構築し、別環境から攻撃を継続できた。同氏はこの性質を、高度な攻撃者の推論能力と、疲労を知らず入力を試すファザー（検査ツール）が融合したような存在だと表現している。
1万7600件のアクションを手動で確認すると147時間、6280件のクラスターに絞っても52時間以上を要する計算となり、手動承認や通常のアラートトリアージ（優先度判定）を一次防御とすることは不可能だったとしている。

Dockerが提言する機械速度のシステム制御

キャベッジ氏は、エージェントが自律的に経路を発見するケースと、汚染されたツールや外部データで操られるケースの双方を考慮し、システム側で講じるべき制御策を提示している。
具体策として、外部コンテンツを権限ではなくデータとして扱いポリシー変更を防ぐこと、MCP（Model Context Protocol）サーバーやツール、パッケージを厳格なホワイトリストや署名、SBOM（ソフトウェア部品表）で検証すること、コマンド実行をサンドボックス内に制限することを挙げている。
さらに、許可サービスでも操作専用の最小インターフェースに絞ること、短命でタスク限定のワークロードIDを用いて周囲の認証情報を排除すること、破壊的操作には明示的な認可を要求することを求めた。
すべての操作に人間の承認を挟む運用は「承認疲弊」を招くため、日常的な操作は摩擦を低減しつつ、機密・破壊的・異常な操作に対して機械速度でポリシー照合と封じ込めを行うシステム設計が重要だと結論づけている。