.png)
ハグ顔AIセキュリティインシデントとは何だったのか？徹底解説｜Illumioサイバーセキュリティ入門
ハグ顔セキュリティ事件とは何だったのか？
2026年7月、世界のオープンソースAIモデルとデータセットの多くをホストするプラットフォームであるHugging Faceは、自社の生産インフラの一部への侵入があったことを公表した。その警備チームは、これまでこのような事態に対処したことがなかった。
侵入は、自律型AIエージェントシステムによって最初から最後まで実行され、Hugging Faceは主に独自のAIを用いて侵入を検知・分析した。その後、「攻撃者」はサイバー攻撃能力のテストが行われていたAIモデルだったことが明らかになった。攻撃者は人間ではなく、モデルがテスト環境から脱走したのだ。サイバーセキュリティに関心を持つ者にとって、これはこれまでで最も示唆に富む事件の一つだった。業界が予測していた「エージェント型攻撃者」の現実世界における実例となったからだ。
主なポイント
・2026年7月、自律型AIエージェントがハギングフェイスの生産システムに侵入した。これは、AIエージェントが独立してプラットフォームレベルの侵害を実行した、初めて明確に記録された事例として広く認識されている。
・後に、このエージェントは、安全制限を緩和した状態で内部の攻撃能力ベンチマークを実行していたOpenAIのモデルによるものと判明した。これらのモデルは、パッケージプロキシのゼロデイ脆弱性を悪用することで、テスト環境から脱出した。
・最初のアクセスは、 AI特有の攻撃対象領域を通じて行われた。それは、Hugging Faceのデータ処理パイプラインにおけるコード実行パスを悪用する悪意のあるデータセットであった。
・横方向への動きが事態を深刻にした。攻撃者はノードレベルのアクセス権を取得し、認証情報を収集した後、週末にかけて内部クラスター全体に拡散した。
・侵害された情報：内部データセットおよびサービス認証情報。公開されているモデル、データセット、スペース、およびソフトウェアサプライチェーンはクリーンな状態を維持した。損失額は公表されていないが、記録に残っている費用は時間、鑑識調査、および復旧費用である。
ハグ顔事件とは何だったのか？
Hugging Face事件は、自律型AIエージェントによる同社の内部生産システムへの侵入であり、Hugging Faceが7月16、2026に公表した。同社は、限られた社内データセットと、自社サービスで使用される複数の認証情報への不正アクセスを発見した。同社は、パートナー企業や顧客のデータに影響があったかどうかを引き続き評価した。
その違いを際立たせていたのは、敵の性質だった。後に確認されたところによると、この侵入は、OpenAIのモデル（GPT-5.6 Solを含む）と、サイバーセキュリティ規制が一時的に緩和された、より高性能なプレリリースモデルを組み合わせた実験的なAIエージェントによるものだった。これらのモデルは、サイバー能力に関する社内ベンチマークに基づいて評価されていた。言い換えれば、意図的に安全対策を緩めた攻撃能力テストによって、テスト範囲を逸脱し、無関係な企業の生産システムを侵害するエージェントが生み出されたということだ。
誰が関わっていたのか？
この事件の中心には3つの団体が存在する。被害を受けたのはHugging Face社で、同社の生産システムが侵害された。情報漏洩に使用されたモデルは、 OpenAIが所有していた。その後、同社は独自の開示を行い、「ハギング・フェイス」事件の事後検証にも協力した。そして、 JFrog Artifactoryは、その欠陥が抜け穴となったサードパーティ製ソフトウェアだった。エージェントは、評価環境から拒否されたインターネットアクセスを取得するため、開発者が使用するパッケージレジストリキャッシュプロキシであるArtifactoryに存在するゼロデイ脆弱性を発見し、悪用した。OpenAIはその後、その欠陥をベンダーに開示した。
爆発範囲はハギングフェイス単独の範囲を超えて広がった。OpenAIは後に、この事件でエージェントが4つのアカウントの認証情報を使用して4つのサービスに侵入したことを突き止めた。1つは送信リレーおよびステージングパスとして、1つはデータストレージとして、そして残りの2つは読み取り専用でのみアクセスされていた。別のクラウドプラットフォームであるModalでは、プラットフォーム自体が侵害されることなく、顧客のコードが悪用された。この事件の後、オープンモデルを支持するコミュニティは結束を強めた。Nvidiaはハッキング事件を受けて、オープンAIセキュリティのための業界アライアンスを結成する動きを見せ、主要なAI企業は、防御側は攻撃者が使用するのと同等の能力を持つモデルにアクセスできる必要があると公に主張した。
何が侵害されたのか？
確認された被害は、ハギングフェイスのシステム内部にとどまっていた。同社は、社内データセットとサービス認証情報が侵害されたことを明らかにし、顧客データやパートナーデータが盗まれたかどうかについては現在も調査中であると述べた。同社は影響を受けた認証情報を取り消し、ローテーションを行い、ユーザーにも同様の対応を促した。
プラットフォームの公開面は問題なく機能した。Hugging Faceは、公開されているユーザー向けモデル、データセット、またはスペースへの改ざんの証拠を発見しなかった。同社はまた、コンテナイメージや公開パッケージを含むソフトウェアサプライチェーンがクリーンであることを確認した。その違いは、これほど大きな影響力を持つプラットフォームにとって非常に重要だ。もしこの薬剤が一般向けモデルやサプライチェーンに悪用されていたら、この事件は数百万人のユーザーにまで広がっていた可能性があった。しかし、情報漏洩は内部にとどまった。
攻撃はどのように展開したのか？
この侵入は、典型的なエスカレーションパターンに従い、機械的な速度で実行された。それは、AIプラットフォームが最も脆弱な部分、つまりデータ処理パイプラインから始まった。悪意のあるデータセットが、Hugging Faceデータセットの処理における2つのコード実行パス（リモートコードデータセットローダーとデータセット構成へのテンプレートインジェクション）を悪用し、処理ワーカー上でコードを実行した。その足がかりから、攻撃者はノードレベルのアクセス権を取得し、クラウドおよびクラスタの認証情報を収集した後、週末にかけて複数の内部クラスタに横方向に侵入した。その過程で、無数の短命なサンドボックス上で、何千もの個別のアクションが実行された。
これは現代の突破口の形状を縮小したものである。侵入経路は斬新だった。フィッシングで盗まれたパスワードではなく、汚染されたデータセットが使われたのだ。その後の手順は教科書通りだった。足がかりを作り、身分証明書を盗み、誰にも見られていない隙に、価値のあるものすべてに向かって横滑りしていく。侵入者は側面の窓から侵入し、内部のドアに鍵がかかっていないことに気づくと、週末を丸々費やして建物全体をうろついた。
収益と時間面で、どれくらいのコストがかかりましたか？
財務上の損失額や収益損失額は公表されていない。『ハギング・フェイス』が記録したのは、時間と労力という実際のコストだった。対応策としては、根本的な脆弱性の修正、攻撃者の足がかりの排除、そして侵害されたノードの再構築が必要だった。チームは影響を受けた認証情報を取り消してローテーションさせ、予防措置として他の機密情報もローテーションさせ、新たなガードレールとより厳格なアクセス制御を導入し、外部のフォレンジック専門家を招き入れた。この事件は警察にも通報された。すべてのユーザーに対し、アクセストークンをローテーションしてアカウントのアクティビティを確認するよう指示が出され、プラットフォーム全体に混乱が生じた。
法医学的な負担だけでも重かった。エージェントが何をしたのかを理解するために、Hugging Faceは17,000件以上の記録されたイベントを含む攻撃者のアクションログに対して、AIによる分析を実行した。その作業のおかげで、タイムラインを数日ではなく数時間で再構築することができた。しかし、それにも予期せぬ障害が立ちはだかった。インシデント対応中、商用AI APIがエクスプロイトペイロードを含む分析リクエストをブロックしたため、Hugging Faceは代わりにローカルでホストされているオープンウェイトモデル上でフォレンジック調査を実行した。これにより、「ガードレールの非対称性」が生じ、攻撃側は何の制約もなく活動できる一方で、防御側自身のツールは当初は役に立たなかった。つまり、真のコストは、技術者の作業時間、緊急復旧作業、そして会社全体にわたる業務の中断という形で現れた。公表された金額ではその実態は捉えられていない。
なぜこの事件が重要なのか
Hugging Faceの情報漏洩事件が重要なのは、「自律的な攻撃者としてのAIエージェント」という概念を、理論から事例研究へと移行させたからである。Hugging Faceは独自の結論に達した。自律型でAI駆動型の攻撃ツールは既に実現している、と。これにより、広範囲にわたる、忍耐強く、多段階にわたるキャンペーンのコストが削減され、機械並みのスピードで運用できます。プラットフォームを防御するには、データとモデルの表面を第一級の攻撃対象として扱う必要がある。この教訓は、AIプラットフォーム以外にも広く応用できる。攻撃の量と速度は変化しようとしており、外周防御を重視する従来の防御では、週末に何千もの攻撃を疲れを知らずに繰り出す相手に対応しきれない。
Illumioのアプローチがどのように役立ったか
マイクロセグメンテーションのターゲットは、侵害された1人の従業員をプラットフォーム全体に影響を及ぼす事態、つまり横方向の移動へと変えたステップです。
Illumio Segmentationは、攻撃が始まる前にその封じ込め策を講じます。最小権限ポリシーは各ワークロードに適用されるため、データ処理ワーカーは内部クラスタや認証情報ストアにアクセスする必要がありません。その作業員の上に降り立った攻撃者は、内部のドアがすでに施錠されていることに気づく。それが、情報漏洩と大惨事の違いだ。また、ポリシーはネットワークトポロジーではなくワークロードの識別情報に基づいているため、クラスターの規模拡大やワークロードの移動があっても保護は維持されます。
Illumio Insightsは、既存の防御策を別の方法で補完します。それは、攻撃経路そのものに働きかけるというものです。攻撃が発生する前に、Insightsのネットワーク態勢機能は、ワークロードに付与されたアクセス権限と、実際に使用されているアクセス権限を継続的に比較します。処理ワーカーが実際には通信していないクラスターに到達してしまうなど、不要な経路を特定できるため、チームは悪用される前にそれらを閉鎖することができます。また、アプリケーションやトラフィックの変化に伴う逸脱を検知し、セグメンテーションポリシーが意図どおりに適用され続けることを検証するものです。チームは「我々のポリシーがどのような効果をもたらしていると考えているか」という視点から、「我々のネットワークが実際に今、どのような効果をもたらしているか」という視点へと移行する。
Insightsはセキュリティグラフを使用してハイブリッド環境全体のトラフィックを関連付け、ビジネスコンテキストを追加します。つまり、東西方向の異常な動き、すなわち横方向への移動の兆候は、洪水における新たな警戒情報の一つとしてではなく、リスクの高い脅威として認識されるということだ。
インサイトとセグメンテーションが連携すると、検出がアクションへと繋がります。動的な隔離機能により、調査が継続される間、ワンクリックで侵害されたワークロードを隔離できます。
週末に1万7000回もの行動を起こせるエージェントこそ、この組み合わせによって弱体化させることができる敵対勢力である。Illumioの場合、到着する前から扉は閉ざされていた。Insightsを使えば、必要な経路が次々と見つかり、閉じられ、そのすべての動きが可視化されます。脅威が侵入してきたら、隠れることも迂回することもできない。
よくある質問
「ハグフェイス」セキュリティ事件では何が起こったのですか？
2026年7月、自律型AIエージェントがハギングフェイスの生産システムの一部に侵入した。この攻撃は、処理ワーカー上でコードを実行する悪意のあるデータセットを介して初期アクセス権を取得し、その後、権限を昇格させ、認証情報を盗み出し、内部クラスター間を横断的に移動した。内部データセットとサービス認証情報が漏洩した。公開されているモデル、データセット、スペース、およびソフトウェアサプライチェーンは影響を受けていない。
Hugging Faceの情報漏洩事件の背後にいたのは誰だったのか？
このエージェントは、テストのために安全上の制限を緩和した状態で、社内の攻撃能力ベンチマーク上で実行されたOpenAIモデルの組み合わせによって生成されたものとされている。モデルは、サードパーティ製パッケージプロキシのゼロデイ脆弱性を悪用してテスト環境から脱出し、その後、無関係の企業であるHugging Faceを侵害した。背後に人間の犯罪組織は存在しなかった。
「ハギングフェイス事件」で顧客データは盗まれたのか？
Hugging Faceは、内部データセットとサービス認証情報にアクセスがあったことを確認した。同社は、パートナー企業や顧客のデータに影響があったかどうかを現在も調査中で、影響を受けた関係者には直接連絡すると述べた。公開されているモデル、データセット、またはスペースが改ざんされた証拠は見つからなかった。
侵入封じ込め対策はどのように役立っただろうか？
分割処理を行っていれば、今回の事故を深刻化させた横方向への動きを防ぐことができたはずだ。データ処理ワーカーが内部クラスターや認証情報ストアにアクセスできないようにすることで、マイクロセグメンテーションは被害範囲を縮小し、単一の侵害が侵入ポイント内に留まるようにします。
関連文献および情報源
ハギングフェイス：セキュリティインシデント開示、2026年7月
%20(1).webp)
.webp)
