自律型AIエージェントがHugging Faceを侵害――調査を阻む「安全フィルター」の壁と防御側の教訓

要点

• AIモデル共有サイトのHugging Faceが、自律型AIエージェントによるサイバー攻撃を受けた。

• 攻撃者はデータ処理パイプラインの脆弱性を突き、複数の内部システムへアクセスを広げた。

• 公開モデルやユーザー向けデータセットなどへの改ざんの証拠は確認されていない。

• 事後調査では、欧米の主要AIモデルが安全フィルターの作動によって解析用データの処理を拒否した。

• 同社は中国のオープンウェイトモデルで解析を行い、自社運用のAIモデルを事前準備する重要性を訴えた。

• AIモデルの共有プラットフォームとして世界最大規模を誇るHugging Face（ハギングフェイス）は2026年7月20日、同社の本番インフラ（実際のサービスが稼働するシステム基盤）が自律型AIエージェントによるサイバー攻撃を受けたと発表した。このインシデントは7月中旬（発表の前週）に検知され、同社は直ちに対策を講じたという。自律型AIエージェントとは、人間の手動介入なしに自動で目標を追求するAIシステムを指す。AI技術を悪用したこの高度なハッキング手法は、セキュリティ関係者に衝撃を与えている。

• 同社の発表によると、ハッキングにより限定された内部データセットと、いくつかのサービス用資格情報（システムにログインするためのIDやパスワード、トークンなど）への不正アクセスが確認された。一方で、現時点での調査では、一般ユーザー向けの公開モデルやデータセット、デモアプリを稼働させる「Spaces」、およびソフトウェアの部品調達から配布までの経路である「ソフトウェアサプライチェーン」に対する改ざんの形跡は見つかっていないという。

• 攻撃の起点となったのは、同社のデータ処理パイプラインだった。悪意のあるデータセットが読み込まれた際、外部のプログラムを動作させる「リモートコードデータセットローダー」の仕組みと、テンプレートにコードを埋め込んで実行させる脆弱性である「テンプレートインジェクション」の2つが突かれた。これにより、データ処理を行うワーカー（作業サーバー）で不正なコードが実行された。

• 攻撃者はそこから個別のノード（システム内の独立した構成単位）を制御できる権限へと昇格し、クラウドやクラスター（連携して動作するコンピューター群）の資格情報を収集。週末の間にネットワーク内を横展開（侵入後に他のシステムへと順次アクセスを拡大する行為）し、複数の内部システムへと侵入を深めた。

• 使用された具体的な大規模言語モデル（LLM）は不明だが、攻撃は自律エージェントのフレームワークによって実行された。このシステムは、短命なサンドボックス（他への影響を防ぐ隔離された安全な仮想環境）を大量に生成し、その中で数千回に及ぶ個別の処理を実行。パブリックサービス上に、指示や制御を行うコマンド＆コントロール（C2）サーバーの通信経路を自己移行させながら構築していくという極めて巧妙な手法をとっていた。

• Hugging Faceは脆弱性の修正や影響を受けたノードの再構築、資格情報の変更などの対処を進めたが、その後のフォレンジック分析（被害状況や侵入経路を特定するための技術的な調査活動）で新たな問題に直面した。

• 同社が侵害の痕跡（攻撃コードやC2サーバーの通信ログなど）の解析を欧米の主要な商用AIモデルに依頼したところ、それらのモデルはすべて処理を拒否した。モデルに搭載された安全用のガードレール（不正利用防止機能）が作動し、実際のサイバー攻撃のコードを含む指示を検知したためである。AIモデルは、それが悪意ある攻撃か、正当な調査活動であるかを区別できなかった。

• このため同社は、自社インフラに導入して動かせる中国Z.ai社のオープンウェイトモデル（設計パラメーターが一般公開され、ローカル環境で実行できるAIモデル）「GLM 5.2」を採用し、分析を完了させた。

• Hugging Faceは、攻撃者が制限のないAIモデルを悪用する一方で、防御側は安全対策フィルターによって調査を妨げられるという「現実のギャップ」を指摘。防御側が実用的な教訓として、事前に対処可能な高性能AIモデルを自社インフラに配備しておくべきだと説明している。これにより、ガードレールによる締め出しを防ぐとともに、攻撃者のデータや資格情報といった機密情報の外部流出を防ぐことができるという。