2026/07/18 CyberSecurityNews — 今週 Hugging Face が明らかにしたのは、エンドツーエンドで実行された本番環境インフラへの侵害を、自律型 AI エージェント・システムにより検知して封じ込め、自社の AI ベースのフォレンジック分析を用いて防御したことだ。攻撃者たちが悪用したのは、Hugging Face のデータセット処理パイプラインに存在する 2 件のコード実行の脆弱性だった。1 件はリモート・コード実行が可能なデータセット・ローダーに起因し、もう 1 件はデータセット・コンフィグにおけるテンプレート・インジェクションに起因するものだ。
処理ワーカーへ侵入した攻撃者は、ノードレベルのアクセス権限を取得し、クラウド／クラスタの認証情報を収集した上で、週末の間に複数の内部クラスタに対してラテラル・ムーブメントを実施した。
この不正アクセスは、限定された内部データセットおよびサービス認証情報に影響を及ぼしたが、公開モデル／データセット／Spaces／同社のソフトウェア・サプライチェーンが改竄された証拠は確認されなかったと、Hugging Face は述べている。
先日セキュリティ企業 Sysdig が JADEPUFFER を公表したように、このインシデントは、全体における広範な傾向を反映している。この種の侵害は、自律型 AI が駆動するランサムウェア攻撃と説明されており、人間の操作やコマンド入力を必要としない AI エージェントが、インターネット上に公開されたサーバへ侵入し、ラテラル・ムーブメントを実行してファイルを暗号化し、身代金要求を発行するというものである。
これとは別に、Check Point の Annual AI Security Report 2026 が報告しているのは、AI により実行される実際の侵入攻撃が増加しており、脆弱性の公開から悪用までの時間が数日から数時間へ短縮されている状況である。
Hugging Face が AI 駆動の侵害を確認
今回の Hugging Face に対するキャンペーンが示しているのは、その規模と自律性である。この侵害は、短命なサンドボックス群全体における、数千件もの個別のアクションにより実行されるものであり、公開サービス上に展開された自己移行型の Command and Control (C2) インフラが利用された。それは、以前から予測されていた “エージェント型攻撃者” のシナリオと一致している。
Hugging Face 独自の異常検知パイプラインは、セキュリティ・テレメトリに対して LLM ベースのトリアージを実施しており、日常的なノイズに埋もれるシグナルを相関分析することで、この侵害を検知した。
17,000 件を超える悪意のアクションから、攻撃のタイムライン全体を再構築するために、Hugging Face はログ全体に対して LLM 駆動の分析エージェントを用いて、通常であれば数日を要するフォレンジック作業を数時間に短縮した。
調査における重要な発見は、商用フロンティア・モデル API がフォレンジック分析の処理を拒否したことである。その理由は、ガードレールが実際のエクスプロイト・ペイロードや C2 アーティファクトを送信するインシデント・レスポンス担当者と、実際の攻撃者とを区別できなかったためである。
そのため Hugging Face は、自社インフラ上で稼働するオープンウェイト・モデルを “GLM-5.2” へと切り替え、攻撃者のデータや参照された認証情報の外部への送出を防止した。
それが浮き彫りにするのは、防御側と攻撃側における明確な非対称性の存在である。つまり、ジェイルブレイク済みのモデルや制限のないモデルを使用する攻撃者は、ポリシー上の制約を受けない。その一方で、ホスト型商用モデルを利用する防御側は、インシデント対応中にフォレンジック分析を実行できない可能性がある。
Hugging Face がユーザーに対して、予防措置として推奨するのは、アクセス・トークンのローテーションと最近のアカウント・アクティビティの確認である。
今回のインシデントが示すのは、自律型攻撃 AI ツールが理論から実践段階へ移行したことである。それに対して英国の National Cyber Security Centre (NCSC) は、国家規模で AI を活用した防御を展開する、Cyber Shield イニシアチブを開始している。
このインシデントが示す最も重要な教訓は、ユーザー組織がインシデントの発生を想定し、検証済みで即座に利用できる高性能なセルフホスト型 AI モデルを準備しておく必要性である。それにより、フォレンジック作業中にガードレールによるロックアウトを回避し、機密性の高い攻撃データの自社環境外への流出を阻止できる。
Hugging Face が指摘するように、データとモデルの攻撃対象領域は、今や第一級の攻撃ベクターとして扱われるべきであり、AI 駆動の攻撃へ対抗するには、マシンスピードで動作する AI 駆動の防御が不可欠となる。
今回のインシデントは、Hugging Face のデータセット処理パイプラインに存在していた、2 つのコード実行の脆弱性が主な原因となっています。具体的には、リモートコード実行が可能なデータセット・ローダーの脆弱性と、データセット・コンフィグにおけるテンプレート・インジェクションの脆弱性です。これらを悪用する攻撃者が、処理ワーカーへ侵入した後にノード・レベルのアクセス権限を取得し、クラウドやクラスタの認証情報を収集しました。これにより、わずか一回の週末の間に、複数の内部クラスタへラテラルムーブメントが実行され、限定的な内部データセットやサービス認証情報への不正アクセスにつながりました。それに加えて、フォレンジック作業中にガードレールによるロックアウトを回避し、機密性の高い攻撃データの自社環境外への流出を阻止するための、セルフホスト型 AI モデルの準備が必要になると、Hugging Face は指摘しています。
IoT OT Security News 
You must be logged in to post a comment.