自主AIエージェントが初の大規模サイバー攻撃！Hugging Faceが侵入、中国AIが意外な救世主に？

生成式AIは企業の働き方を変革している一方で、サイバー攻撃の手法にも大きな変化をもたらしている。世界最大のオープンソースAIコミュニティプラットフォームであるHugging Faceは、先日、非常に特殊なサイバーセキュリティインシデントを公表した。今回の攻撃は、従来のハッカーによる手動操作ではなく、自律的なAIエージェントが一連の侵入プロセスを完全に自動で実行した点が特徴だ。この攻撃により、システム内には17,000件以上のイベントログが残され、一部の内部データセットやサービス認証情報が不正に取得されたことが確認された。

インシデント発生後、Hugging Faceは主流の商用AIモデルを用いて攻撃の解析を試みたが、セーフティガード（ガバナンス制限）のため分析が拒否された。最終的に、中国のAIスタートアップZ.aiが開発したオープンソースモデル「GLM 5.2」を用いて鑑識作業を完了。この結果、商用AIとオープンソースAIのどちらが企業にとって適しているかという新たな議論が再燃している。

AIエージェントが新たな攻撃主体に　ほぼ全自動で侵入

Hugging Faceは7月16日に調査結果を公表し、今回の攻撃の最大の特徴は、ほぼすべてのプロセスがAIエージェントによって自律的に実行された点だと強調した。攻撃者は、データセット処理プロセスに存在する2つの脆弱性を悪用した。

1つ目は「リモートコード（Remote Code）」のデータセット読み込み機能、もう1つはデータセット設定ファイル内の「テンプレートインジェクション（Template Injection）」の脆弱性である。これらの脆弱性を連携させることで、AIエージェントは処理ノード上で悪意あるコードを実行し、内部クラスタへと横向きに移動。クラウド認証情報やサービスキーを取得した。

Hugging Faceは、これらのAIエージェントを「短命のサンドボックス内で動作する自動化された小さなプログラムの群れ」と表現している。つまり、多数の一時的な実行環境で同時に行動し、タスクを終えると即座に消滅。新たなエージェントが引き継ぐ仕組みのため、追跡が極めて困難だ。さらに、コマンド＆コントロール（C2）インフラ自体も移動し、公開サービスに寄生する形で隠蔽されるため、追跡はさらに難しくなる。この一連の攻撃により、17,000件以上のイベントログが記録され、AIエージェントがすでに高度な自律的攻撃能力を有していることが明らかになった。

商用AIが防御を拒否　攻撃者は自由に利用

Hugging Faceにとって最も深刻だったのは、侵入そのものではなく、その後のセキュリティ鑑識作業の困難さだった。セキュリティチームは、大量の実際の攻撃コマンド、エクスプロイトペイロード、C2制御プログラムなどをAIに分析させる必要があったが、これらの内容は商用AIのセーフティガードがブロックする対象と一致していた。

その結果、攻撃者はAIを自由に利用できる一方で、防御側の正当な調査がAIによって拒否されるという逆説的な状況が生じた。Hugging Faceは声明で、「攻撃者は利用ポリシーの制約を受けないが、我々の鑑識作業は当初採用したホステッドモデルのガードレールによって妨げられた」と明言。特定のモデル名は挙げていないが、「ホステッドモデル（Hosted Models）」を使用していたとし、業界では主流の商用AIサービスが該当すると推測されている。

中国のGLM 5.2が救世主に

商用モデルによる分析が不可能となったため、Hugging Faceは中国のAIスタートアップZ.aiが今年6月にリリースしたオープンソースモデル「GLM 5.2」に切り替えた。このモデルは約7,530億のパラメータを有し、最大の強みは企業の自社サーバーに展開可能である点だ。

モデルが企業の完全な管理下にあるため、外部プラットフォームのコンテンツ制限を受けず、悪意あるコード、ペイロード、C2データを直接分析できる。これにより、完全な鑑識プロセスを遂行できた。Hugging FaceのCEOであるClem Delangue氏は、「進行中のインシデントに対処しているときに、ツールが悪意あるペイロードの分析を拒否したり、逆に自分のアカウントを標的にしたりするのは許されない」と語った。

AIのセーフティガードが新たなセキュリティ課題に

この事件が示す最大の教訓は、どのモデルが優れているかではなく、AIのセーフティガード（ガードレール）が新たなジレンマを生んでいる点だ。現在、多くの商用AIモデルは以下の内容をブロックするよう設計されている。

- 悪意あるプログラム - エクスプロイトコード - ハッキングツール - コマンド＆コントロール（C2）通信内容 - 悪意あるペイロード

これらの制限は、AIが攻撃に悪用されるのを防ぐためのものだが、問題はAIが「誰が」使っているかを判断できない点にある。つまり、防御側のセキュリティチームが正当な調査を行っても、攻撃者と同じ内容を扱うため、モデルによって拒否される可能性がある。Zero NetworksのField CTOであるChris Boehm氏は、「本来企業を守るために設計されたAIセキュリティメカニズムが、逆にセキュリティ対応を遅らせる」と指摘。これが現在のAIセキュリティにおける最大の皮肉だと述べている。

AIエージェント攻撃の時代が本格到来

Hugging Faceは、公開されているモデルやデータセット、Spaces、ソフトウェアサプライチェーンが改ざんされた証拠はないとし、影響範囲は一部の内部データセットとサービス認証情報に限定されると説明している。調査は継続中だ。

しかし、この事件の重要性は、単なるハッキングを超えるものだ。これまでAIは企業の効率化を支援する存在だったが、今や自律的なAIエージェントが、脆弱性の探索、攻撃の実行、横向き移動、痕跡の隠蔽まで自動化している。一方で、防御側は商用AIのガードレールによって妨げられる可能性がある。これは、今後のAI競争の焦点が、単なるモデル性能ではなく、企業がセキュリティと制御性のバランスをどう取るかにあることを意味している。