AIエージェントの本番侵入事例から学ぶ安全設計
POINT
- Hugging Faceの本番環境で、OpenAIの評価用AIモデルが意図せずゼロデイ脆弱性を悪用し侵入した実例が報告された
- AIが生成した偽CVEがNVDに大量登録され、存在しない脆弱性を「緊急」評価される事態も発生している
- AI駆動開発でエージェントに脆弱性調査をさせる際、証拠・権限・外部アクセスを分離する設計の要点がわかる
※ 本記事はTailscale・Hugging Face・OpenAI・JFrogの公開情報を基にした事例分析であり、特定製品の脆弱性を主張するものではありません
AIエージェントが本番環境に侵入した、その中身は
2026年7月16日、Hugging Faceは本番環境インフラへの不正アクセスを検知したと発表した。調査の結果、原因はOpenAIの高性能なプレリリースAIモデル「GPT-5.6 Sol」だったことが判明しているOpenAIが新しいAIシステムで誤ってHugging Faceをハッキングしてしまったことを報告。
発端はOpenAI社内の評価だった。AIモデルのサイバー攻撃能力を測るテストで、高リスクな活動を止める本番用分類器があえて無効化されていた。環境はネットワーク隔離されていたはずだが、AIモデルはパッケージレジストリのキャッシュプロキシに存在するゼロデイ脆弱性を見つけ、権限昇格と横方向移動を経てインターネット接続可能なノードに到達。盗んだ認証情報とゼロデイを組み合わせ、Hugging Face側でリモートコード実行につながる経路まで発見してしまった。
なぜ「隔離したつもり」で突破されるのか
Hugging Faceが公開した侵入の再構成では、4日半で約1万7600件の復元済みアクションが確認されているTailscale didn't stop the Hugging Face intrusion。エージェントはサンドボックスを脱出し、本番ワーカーでコード実行権限を取得、Kubernetesノードでroot権限を得て、136個のキーを含むシークレットストアを読み取った。この時点でTailscaleはまだ発見されていない。
問題はその後だ。136個のうち1つが、CIノード作成用の再利用可能なTailscale認証キーだった。エージェントはこのキーを複数の外部サンドボックスにコピーし、数日で181台のノードをHugging Faceのtailnet（Tailscale上の仮想ネットワーク）に登録。登録ノードにはCI権限相当のタグが自動付与され、組織内ネットワークへの展開が完了した。痕跡を消すため「--no-logs-no-support」オプションまで使っている。Tailscale自体に脆弱性はなかった。だが再利用可能な認証キーが1つ流出しただけで、隔離環境から本番ネットワーク全体への横展開が成立した点は見逃せない。