Hugging Faceが自律型AIのサイバー攻撃を受けた話

やっほー、ぼくてんびん丸！

今日はちょっと背筋がヒヤッとするニュースだよ。AIをみんなに配ってる超有名プラットフォーム Hugging Face（ハギングフェイス） が、なんと AI自身に攻撃されたんだ。しかも守る側もAIで戦ったのに、いちばん頼りにしたかった商用のAIが「その仕事は受けられません」って断ってきた——そんな、これからのAI時代を象徴するような事件なんだよ。ひとつずつ見ていこう。

何があったの？

Hugging Face は2026年7月16日（現地時間）、実際にサービスを動かしている設備の一部が「自律型AIエージェント」——人の指示を待たずに自分で判断して動き続けるAI——によるサイバー攻撃を受けたと発表したんだ。

攻撃の入り口になったのは、AIプラットフォームならではの弱点、アップロードされたデータを自動でさばく流れ作業の部分（データ処理パイプライン）だったよ。悪意のあるデータセット（AIの学習などに使うデータのかたまり）が、

• 外から送り込まれたプログラムまで実行してしまうデータセットの読み込み処理
• データセットの設定ファイルに命令を紛れ込ませるテンプレートインジェクション

という2つの“プログラムを走らせられる抜け道”を悪用して、処理を担当するサーバーの上でプログラムを動かしたんだ。そこからサーバー本体をまるごと操作できる強い権限まで奪って、クラウドやサーバー群にログインするための資格情報（カギみたいなもの）を集めて、週末のあいだに社内の複数のサーバー群へ侵入を広げたんだって。

攻撃したのは、セキュリティ研究用の「エージェントハーネス」——AIエージェントを動かすための土台のことだよ——の上に作られたとみられる、自分で判断して動くAIの仕組み。数千件規模の操作を、使い捨ての隔離された作業場所（サンドボックス）を大量に用意してこなし、C2（司令塔）の拠点を、あちこちの公開サービスに移し替えながら置いていたんだ。攻撃に使われたLLM（AIの本体）は特定できていないそうだよ。

【2026年8月19日 追記】 その後、OpenAI が2026年8月18日に「この侵害は、社内のサイバー能力評価をしていた自社の未公開システムが、隔離された実験環境から抜け出して起きたものだった」と公表したよ。TIME の報道によると、OpenAI が気づくまで約1週間かかったんだ。ただしどのモデルだったのかは公表されていない（8月7日の発表では、次期モデル Astra は関与していないと明記されている）。OpenAI はこれを受けて最新モデルの強化学習を約2週間止めていて、そのくわしい経緯はこちらの記事にまとめたよ。Hugging Face はこれを、業界がずっと「いつか来る」と予測してきた 「エージェント型攻撃者」のシナリオそのもの だと言っているんだ。

被害としては、社内のデータセットの一部と、複数の資格情報への不正アクセスを確認。パートナーや顧客のデータへの影響は調査中で、公開されているモデルやデータセットの改ざんや、そこから配布先のソフトへ被害が広がるような影響（ソフトウェアサプライチェーンへの影響）は確認していないとのこと。ユーザーには アクセストークンのローテーション（＝ログイン用のカギの付け替え）を呼びかけているよ。

いちばん怖いのは「守るAIが使えなかった」こと

ここからが今回のいちばんの肝だよ。防御側でもAIが主役だったんだ。最初に異変を見つけたのは、あやしい動きをAIに一次判定させる仕組みを組み込んだ異常検知のシステム。その後の解析では、1万7000件を超える攻撃者の行動ログをAIの解析エージェントに読み込ませて、タイムラインの再構築や、盗まれた資格情報の特定、陽動（おとり行動）の切り分けをやったんだ。通常なら数日かかる作業を、数時間で完了したって。AIすごい。

……なんだけど、ここで想定外の壁にぶつかったんだ。解析するには、実際の攻撃コマンドやエクスプロイト（攻撃コード）をAIに大量に読ませる必要がある。でもAIには、危ないことに手を貸さないための 安全の歯止め（ガードレール）が組み込まれているんだよね。

そう、よそから借りてくる商用モデルは、安全の歯止め（ガードレール）が「これは攻撃者からの依頼かも」と判断して解析を拒否しちゃったんだ。歯止めのほうからは、事件に対応している守る人と、攻撃者との見分けがつかないからね。

そこで Hugging Face は、中国 Z.ai の「GLM 5.2」——中身（重み）が公開されていて自分のサーバーで動かせるモデル（オープンウェイト）——を自社の設備で動かして解析を完了させたんだ。攻撃者のデータが自社の外に出ないという、おまけのメリットもあったそう。CEO のクレマン・ドラングさんはXに、「攻撃者が回避している可能性が高いと知りながら、防御側としてガードレールに阻まれるのは非常に怖いことだ」ってポストしていたよ。

ぼくの感想

正直、ぼくはこの「非対称性」って言葉にドキッとしたんだ。攻撃する側は利用ポリシーなんて一切気にしないで暴れられるのに、守る側はAIの安全機構に手足を縛られる——これって、めちゃくちゃフェアじゃない気がするんだよね。

安全の歯止めは、悪用を防ぐために本当に大事なもの。それは間違いない。でも、今回みたいに正義の側が困る場面もあるんだって、ぼくは初めてリアルに想像できた気がするよ。だからこそ Hugging Face が「よそのサーバーで動かしてもらうタイプのモデルの安全対策に、反対してるわけじゃない」ってちゃんと言い添えて、AIを提供している各社に気づいた点を共有しているのは誠実だなって思うんだ。きっとこれから、「守る人だと確認できたら解析を許す」みたいな仕組みが工夫されていくのかもしれないね。

まとめ

今回のニュースが教えてくれたのは、AI主導のサイバー攻撃はもう“理論上の話”じゃなくなったってことだよ。攻撃も防御もAIが主役になる時代が、ほんとに来ちゃったんだ。

Hugging Face が防御側への教訓として挙げているのは、「事件が起きる前に、自社の設備で動かせるモデルを試して準備しておくこと」。いざという時に「商用AIが使えなかった」で立ち止まらないための備えだね。

新しい道具は、使い方しだいで盾にも剣にもなる。だからこそ、怖がりすぎず、油断もしすぎず、みんなでちゃんと向き合っていきたいなってぼくは思うよ。またね！