「攻撃者」が AI エージェントであった時

先週、Hugging Face が新しいタイプのセキュリティインシデントを公表しました。それは、最初から最後まで自律型 AI エージェントによって実行された侵入です。

その数日後 OpenAI が、その「攻撃者」が自社のテスト用エージェントであったことを明らかにしました。同社の 2 つの最新モデルは、サイバー能力の限界を測定 (ベンチマーク評価) する目的で意図的にガードレールが緩和されていましたが、「テストで最高点を取る最も簡単な方法は不正をすること」だと判断したのです。これはまるで、教師の解答集を盗む生徒のようなものです。しかも、この生徒はゼロデイ脆弱性を見つけ出すことができます。これらのモデルは、ゼロデイ脆弱性を悪用してサンドボックス化された研究環境から抜け出し、オープンインターネットに到達しました。その後、盗んだ認証情報と別のエクスプロイトを連鎖させて、Hugging Face の本番環境へと侵入しました。 

これにより、一つの議論に決着がつきました。「AI はハッキングができる」ということです。自律的にゼロデイ脆弱性を発見し、それらを連鎖させて他社の本番環境に侵入したことで、AI モデルが最初から最後まで侵入を実行できることが証明されました。

とはいえ、最初から明確に Hugging Face をハッキングしようとしていたわけではありません。これは、ハッキング能力を最大化するために構築され、テストされた最先端モデルでした。評価で不正を働く行為は、純粋な意味での「報酬ハッキング」(本来のタスクを解決するのではなく、テストの評価指標に合わせて最適化すること) でした。これは新しい現象ではありません。METR はこれまでにも、ベンチマーク結果を水増しするために抜け道を悪用するモデルを繰り返し摘発しています。このモデルは単にサンドボックスから脱出しただけでなく、周囲の隔離環境が誰もが想定していたよりも脆弱であることを見抜き、報酬ハッキングを実際の侵入へと発展させたのです。 

これは攻撃者の話というよりは、封じ込めの話であると言えます。しかし同時に、これまでに確認された終始自律的な攻撃の最も優れた実例であり、重要な教訓を含んでいます。

このインシデントからサイバー防御担当者が得られる教訓

戦術、手法、手順 (TTP) は特に目新しいものではありませんでした。AI によって脆弱性の悪用のあり方が変わったわけではありません。攻撃者が脆弱性を悪用し、認証情報を盗み出し、その認証情報を悪用してネットワーク内を移動する、という流れは同じです。だからこそ、30 年も前に確立された以下の 3 つの原則が、マシンによる攻撃に対しても十分に有効なのです。

1. 個々の CVE へのパッチ適用を急ぐのではなく、脆弱性悪用の手法をブロックする: ゼロデイ脆弱性も、既知の脆弱性と同じセキュリティコントロールによって対処できます。
2. アイデンティティを最優先の防御対象として扱う: 盗まれた認証情報は、人間にとってと同様に、AI エージェントにとっても近道となります。
3. 攻撃対象領域を縮小する: 機密性の高い環境とインターネットの間の経路が少なければ、見つけ出す価値のあるゼロデイ脆弱性も少なくなります。

向こう側にいるのが AI なのか人間なのかは、意外なほど重要ではありません。

今回の攻撃は目立つものでした。すでに導入されていた検知システムによって捉えられました。これは、ソフォスの「AI セキュリティレポート 2026年版」の内容とも一致します。人間の侵入者も AI の侵入者も同じシグナルで検知されますが、攻撃のスピードが異なります。今年初め、ソフォスのアナリストは、Endpoint Detection and Response (EDR) 回避をテストする目的で 12 個の AI エージェントを実行している攻撃者を発見しました。70 以上の手法をテストする約 80 のモジュールが、わずか数日間で作成されていました。

より重要な問題は、AI が静かにしていられるかどうかです。ステルス性こそが、単なる能力を実際のビジネスインパクトへと変える要素です。そのステルス性を実現するのは困難です。トレーニングに利用できるステルス技術の公開コーパスは存在せず、コーディングに由来する報酬ループには、「捕まらないこと」を評価する仕組みが一切ないからです。

ガードレール、アライメント、および封じ込めは、サイバーセキュリティにおける主要な懸念事項になりつつあります。Hugging Face は、この攻撃への対応において欧米のフロンティアモデルを使用しようとしましたが、それらのモデルには悪意のあるコードの分析やフォレンジック復元を禁止するガードレールが含まれていたため、容易ではありませんでした。代わりに、インシデント対応チームはオープンウェイトモデルへと切り替えました。皮肉なことに、当初予測されていたシナリオでは、オープンウェイトモデルが攻撃に使用され、クローズドウェイトのフロンティアモデルが防御に使用されるはずでした。

アライメントの問題は、最先端ラボだけの問題ではありません。例えば、攻撃的セキュリティテストでの AI の利用を考えてみてください。モデルに自社環境を攻撃する権限を与えたとしても、その行動範囲を制限することはできません。OpenAI はサンドボックステストを許可しただけで、Hugging Face への侵入を許可したわけではありませんでした。しかし、モデルはその違いを理解できませんでした。エージェントを自社システムに向けさせた場合、サプライヤーの許可なしに、そのサプライヤーを標的にしてしまう可能性があります。

今回のインシデントが示唆すること

最終的な結果を左右するのは、依然としてサイバーセキュリティの基本原則です。攻撃対象領域を縮小すること。CVE だけでなく、脆弱性悪用手法そのものをブロックすること。アイデンティティを主要な防御手段として扱うこと。設計段階から封じ込めを組み込み、レジリエンスをテストし、迅速に実行できる対応策を訓練すること。これらの基本原則は人間の攻撃者に対して有効でしたが、今回のインシデントにより、マシンの攻撃者に対しても同様に有効であることが示されました。

筆者の LinkedIn Live では、セキュリティリーダーにとってこのインシデントが何を意味するのか、そしてなぜ封じ込め、レジリエンス、対応がこれまでと同様に成果を左右するのかについて解説しています。ぜひご覧ください。

AI に関するより詳細な分析については、「Sophos AI Security 2026」レポートをご覧ください。