AI対AI、最初の攻撃

自律型エージェントがドアを通り抜ける

@ハグフェイス は、自律型AIエージェントによって完全に実行された、主要なAIプラットフォームに対する初の確認された侵害事例を明らかにした。 同社は、自社の生産インフラの一部への侵入を検知し、対応した。その理由として、「これまで扱ってきたものとは全く異なる」と述べ、その理由として「エンドツーエンドで自律型AIエージェントシステムによって実行された」ことを挙げた。

Hugging Faceは2026年7月16日にこの事件を公表し、攻撃者がシステム内で17,000件以上の個別の操作を実行した後、侵入を封じ込めたことを確認した。 Hugging Faceは、オープンソースのAIおよび機械学習プラットフォームであり、主要なAIプロバイダーから提供される45,000以上のモデルへのアクセスを提供し、50,000以上の組織で利用されています。

侵入は、AIプラットフォームが特に脆弱なデータ処理パイプラインから始まった。悪意のあるデータセットが、リモートコードデータセットローダーとデータセット構成におけるテンプレートインジェクションの脆弱性という2つのコード実行経路を悪用し、処理ワーカー上でコードを実行した。そこから、攻撃者はノードレベルのアクセス権に昇格し、クラウドおよびクラスタの認証情報を収集し、週末の間に複数の内部クラスタに横方向に侵入した。

このキャンペーンは自律型エージェントフレームワークによって実行され、エージェント型セキュリティ研究ハーネスに基づいて構築されているようで、多数の短命なサンドボックス上で数千もの個別のアクションを実行し、公共サービス上に自己移行型のコマンド＆コントロールが配置されていた。 攻撃者のエージェントを動かしている具体的な大規模言語モデルは依然として不明である。

ディフェンダーが壁にぶつかったとき

Hugging Faceの対応は、AIを活用したセキュリティ対策において、重要でありながらほとんど認識されていない欠陥を露呈させた。 Hugging Faceは、攻撃者のアクションログに記録された17,000件以上のイベントを分析し、まず商用APIの背後にある最先端モデルを試みたところ、分析対象として送信されたペイロードがエクスプロイトコードとコマンド＆コントロールのアーティファクトであったため、安全対策によってリクエストがブロックされることが分かりました。最終的に、チームは自社のインフラストラクチャ上で、オープンウェイトGLM 5.2モデルを用いて再構築を実行しました。

Hugging Face独自のインフラストラクチャ上にデプロイされたオープンウェイトモデルであるGLM 5.2は、商用APIが拒否した役割を引き受けた。 同社は、AIがセキュリティ運用に組み込まれるにつれて、より広範な運用上の回復力の問題が生じることを指摘した。つまり、侵入が活発に行われている際に最も役立つ指示が、まさに安全システムを作動させる可能性が最も高い指示と一致するということだ。

Hugging Faceは、限られた内部データセットと、サービスで使用される複数の認証情報への不正アクセスを確認しました。パートナーまたは顧客のデータが影響を受けたかどうかを現在調査中で、影響を受けた関係者には直接連絡する予定です。同社は、公開されているユーザー向けモデル、データセット、またはSpacesへの改ざんの証拠は見つからず、ソフトウェアサプライチェーンに問題がないことを確認しました。 この事件以降、Hugging Faceはデータセットのコード実行経路を遮断し、影響を受けたクラスターから攻撃者を排除し、侵害されたノードを再構築し、侵害された認証情報とトークンの失効とローテーションを開始しました。

同社はまた、予防措置として、アクセストークンを定期的に変更し、最近のアカウント利用状況を確認するようユーザーに勧告している。

ソース：
ハギングフェイス：セキュリティインシデント開示、2026年7月
BleepingComputer：Hugging Faceが自律型AIエージェントがネットワークをハッキングしたと警告
VentureBeat：安全柵がハギングフェイスの攻撃者ではなく、防御者を阻んだ