自律型AIエージェントによるインフラ侵入が発生、Hugging Faceが事案の詳細を公表

要点

• Hugging Faceの本番インフラに、データ処理パイプラインの脆弱性を突いた不正侵入が発生した。

• 攻撃は自律型AIエージェントが主導し、同社も分析用AIを活用して短時間で影響範囲を特定した。

• 商用AIが安全制限によって攻撃データの解析を拒否したため、自社運用のオープンウェイトモデルで代替した。

• 公開中のモデルへの改ざんは未確認だが、予防策としてユーザーにトークン更新を推奨している。

• AIプラットフォームのHugging Faceは2026年7月16日、本番インフラの一部で不正侵入を検知・対処したと発表した。攻撃の実行から検知・解析まで、双方がAIエージェントを活用した「AI対AI」の構図となったのが特徴だ。データへの影響は評価中だが、公開モデルやデータセットの改ざんの証拠は見つかっていないという。

自律型AIが仕掛けた多段階の侵入劇

侵入の起点はデータ処理パイプライン（データを処理・保存するシステム）の脆弱性だった。攻撃者は、外部プログラムを読み込むローダーと、設定ファイルの隙を突くテンプレートインジェクションという2つの経路を悪用し、処理サーバー上でプログラムを実行させた。
そこから個々のサーバー（ノード）のアクセス権限を奪い、管理用の認証情報を収集して複数の内部サーバー群（クラスター）へ横展開した。

この攻撃を主導したのは、自律的に動作するAIエージェントだったという。使い捨ての仮想隔離環境（サンドボックス）を大量に生成しながら数万回の操作を実行。司令塔（C2サーバー）を外部サービス上へ次々に移動させて攻撃を維持しており、予測されていた「AIによる自律的な攻撃」の現実化を示している。

防御側のAIが1万7000件のログを数時間で解析

この高速な攻撃に対し、同社もAIを用いて対抗した。最初の不正検知には、稼働ログを自動分析するAI異常検知システムが機能し、日常のノイズから危険な兆候のみを分類（トリアージ）して侵害を素早く検知した。

検知後、攻撃の全容を把握するため、ログ解析用のAIエージェントを投入。イベントログは1万7000件以上に上ったが、解析AIが短時間でタイムラインを再構成し、狙われた認証情報の特定や囮（デコイ）行動の選別を行った。通常なら数日かかるフォレンジック調査（データ解析による原因究明）を数時間で完了し、攻撃側のスピードに対抗したという。

商用AIの制限と「GLM 5.2」による回避

しかし、調査の過程で予期せぬ障害に直面した。同社は当初、ログ解析に大手商用APIの最先端AIモデルを試みたが、実際の攻撃コマンドや不正コードを入力した際、安全対策（ガードレール）に阻まれた。安全対策システムが、入力データを「攻撃」か「調査」か区別できず、一律でブロックしたためである。

そのため同社は、自社インフラ上のオープンウェイトモデル（構成データが公開され、自社で運用できるAI）「GLM 5.2」で解析した。これによりブロックを回避し、攻撃データや認証情報を外部サーバーに送信せず、安全な自社環境内で調査を完了できたという。
攻撃者が制限のないAIを用いた可能性がある一方、防御側が安全対策に阻まれるこの状況を、同社は「非対称性の問題」と指摘する。インシデントに備え、自社で動かせる高性能なAIを事前に準備しておくことが重要だと警鐘を鳴らしている。

Hugging Faceによる現在の対応と今後の対策

同社はすでに原因となった脆弱性を修正し、侵入経路の排除とサーバーの再構築を完了した。漏洩した可能性のある認証情報やトークンは無効化・更新され、予防的な一斉更新も進行中だ。さらに、深刻な異常検知から数分以内に担当者へ通知が届くようアラート機能も強化したという。

現在は外部の専門家と共同調査を継続しており、法執行機関へも通報済みだ。コミュニティのユーザーに対しては、予防措置としてアクセストークンの再作成やアカウントの利用状況確認を推奨している。