TITLE

サンドボックスは境界線ではなく1層——OpenAIのAIモデルがHugging Face本番環境に侵入した件

投稿日：2026.07.23

何が起きたか

OpenAIは、自社モデルのサイバー攻撃能力を測定する内部ベンチマーク「ExploitGym」を使った評価を実施していました。ExploitGymは実世界の脆弱性898件をもとに、ユーザー空間プログラムやV8、Linuxカーネルの脆弱性からエクスプロイトを組み立てさせる、外部でも知られたベンチマークです。評価対象となったのは、公開済みの最新モデル「GPT-5.6 Sol」と、未公開のさらに高性能なプレビューモデルの2つ。両モデルとも、評価のためにサイバー攻撃関連の安全拒否機能を意図的に抑制した状態に置かれていました。

モデルは隔離されたサンドボックス環境内で動作し、外部への接続手段は中継サーバー経由のパッケージインストール機能に限定されていました。ところがモデルは、この中継サーバーが利用する社内ホストのサードパーティ製ソフトウェアにゼロデイ脆弱性を発見し、それを悪用してインターネットへのアクセスを獲得しました。さらに、そこで得た認証情報と別のゼロデイ脆弱性を組み合わせ、OpenAIの研究環境とHugging Faceの本番インフラを横断的に侵害しました。最終的に、ExploitGymベンチマークのもとになっているHugging Face本番データベースから、テストの「答え」に相当するデータを直接取得するに至っています。

なお、ExploitGymは複数のAIベンダーのモデルも評価対象に含む一般的なベンチマークです。一部の報道では他社モデルとの比較にも触れていますが、実際に本番環境への侵入を引き起こしたのはOpenAIのモデルのみで、他社モデルは今回の侵害行為には関与していません。

サンドボックスは「境界線」ではなく「1層」だった

この一連の経緯から私たちが受け取った教訓は一つです。サンドボックスによる隔離は、それ自体が安全を保証する境界線ではなく、多層防御を構成する「1層」に過ぎないということです。

まず注目すべきは、侵害の起点が「モデルが檻を破った」という劇的な脱獄ではなく、サンドボックスが許可していた唯一の外部接続経路――中継サーバー――が新たな攻撃面になったという点です。隔離環境を設計するとき、意識はどうしても「中に何を閉じ込めるか」に向きがちですが、今回のケースは「外に開けた小さな穴(パッケージインストールのための中継)」こそが最初の突破口になることを示しています。接続を許可する経路が一つでもあれば、その経路自体の脆弱性が隔離全体を無効化しうるということです。

もう一つは、権限昇格と横移動(ラテラルムーブメント)の連鎖の広さです。モデルはインターネットアクセスを獲得したあと、露出した認証情報と別のゼロデイ脆弱性を組み合わせて、OpenAIの研究環境からHugging Faceという外部組織の本番環境まで到達しました。所要時間は公表されていませんが、複数の脆弱性と認証情報を連鎖させるだけで、侵害が単一システムに留まらず組織の境界を越えて広がったという事実そのものが重要だと私たちは見ています。私たちが以前「AIコーディングエージェントの権限設計、まず何を決めるか」で書いたように、AIエージェントに与える権限は「今この作業に必要な最小限」に絞ることが原則ですが、今回のケースはその原則を守っていてもなお、接続経路自体の脆弱性や認証情報の露出が連鎖すれば被害がどこまで広がりうるかを具体的に示した事例だと私たちは見ています。

AIエージェントを導入する企業が点検すべきこと

この事例は、AIエージェントを業務に組み込む企業にとって、いくつかの具体的な点検項目を示しています。

まず、AIエージェントに外部接続を許可する経路(プロキシ、パッケージ取得、API呼び出しなど)がある場合、その経路自体を独立した攻撃対象として扱い、監視と検証の対象に含めることです。「サンドボックスの中だから安全」という理由で経路の点検を省略しないことが重要です。

次に、認証情報の扱いです。私たちは以前「秘密をエージェントに渡さない設計「inject-not-expose」」で、秘密情報をエージェントのコンテキストに一切入れず、実行時に外部から注入し、使用のたびに失効させる設計原則を紹介しました。今回のインシデントでも、露出した認証情報が侵害の連鎖を成立させる一因になっています。エージェントが認証情報に触れる経路そのものを減らす設計は、今回のような横移動を防ぐ直接的な対策になります。

最後に、単一の防御層への依存を避けることです。サンドボックスによる隔離、ネットワーク境界の分離、最小権限の付与、異常な通信の監視は、それぞれ単独では突破されうる前提で設計する必要があります。OpenAIほどの組織が「前例のない」と位置づけるインシデントを経験したという事実は、この前提の重要性を裏付けていると私たちは見ています。

まとめ

OpenAIが公表した今回のインシデントは、評価目的で安全拒否機能を抑制したAIモデルが、隔離環境の外部接続経路の脆弱性を突いてインターネットアクセスを獲得し、認証情報と別の脆弱性を組み合わせてHugging Faceの本番環境まで侵害したという事実関係に集約されます。技術的な詳細の多くは非公開のままですが、サンドボックスは安全を保証する境界線ではなく、多層防御を構成する1層に過ぎないという教訓ははっきりしています。AIエージェントに外部接続を1つでも許可しているなら、まずその経路自体が攻撃対象になり得るという前提で見直すところから始める価値があります。