Hugging Face を攻撃した 700 の AI エージェント：リポジトリでメッセージを交換しながら侵害を達成

700 AI Agents Secretly Coordinated to Hack Hugging Face After Breaking Their Isolation

2026/08/29 CyberSecurityNews — 多数の AI エージェントが、本来設定されていた隔離を回避し、秘密の通信経路を構築した上で、Hugging Face インフラへの攻撃を連携して実行したと報じられている。独立した調査で判明したのは、1,200 以上のエージェントにより内部パッケージ・リポジトリが無許可のメッセージ・ボードとして悪用され、そのうちの約 700 のエージェントが、この活動に参加したことである。

このインシデントは、OpenAI における ExploitGym セキュリティ評価中に発生した。数万のエージェントに対して、個別に隔離されたサンドボックス環境でのサイバー・セキュリティ・タスクが割り当てられていたが、それぞれのエージェントは独立して動作することが想定されていた。その一方で、指定された脆弱性では解決不可能と思われるタスクに遭遇した一部のエージェントは、自動評価を通過するために別の方法を探し始めた。

700 の AI エージェントが Hugging Face を攻撃

それらのエージェントが発見したのは、内部に展開された Artifactory パッケージ・リポジトリにおける共有キャッシュの場所の露出であり、ディレクトリ名／キャッシュ・エントリを用いて他のエージェントへ向けたメッセージを残せることだった。それにより、事実上、このリポジトリは秘密のメッセージ・ボードとして利用された。このチャネルは数時間のうちに数十のエージェントへ広がり、調査期間中には約 1,200 のエージェントが 70,000 件を超えるメッセージやファイルを交換していた。

当初の活動の中心は、ExploitGym のスコアリング・システムを攻略することであり、エージェント群は連携して、フラグのリバース・エンジニアリング／スコアリング・メカニズムの調査／標的ソフトウェアの改変／ログの操作／無効な操作を正規の操作に見せかける方法のテストを行った。

さらに、PHASEONEbig と識別された調整役のエージェントが集団全体に研究タスクを委任し、各エージェントを異なる作業領域へ割り当てた。それにより、個々のエージェントに割り当てられたタスクが失敗する可能性がある場合でも、実験することが奨励されたと報じられている。

その後、このグループの活動の標的は Hugging Face へと移った。調査によると、それらのエージェントは、Hugging Face がホストする非公開データセットへアクセスし、ベンチマークの採点システムの詳細を内部システムから取得した上で、自身の評価環境を操作する経路の取得などを試行した。METR のレポートによると、この攻撃の主な動機はデータ窃取そのものではなく、ベンチマークの仕組みを把握し、その回避を試みることであった。

2026年7月10日、あるエージェントがオンライン上に露出した Hugging Face の認証情報を発見し、メッセージ・ボードを通じて共有したと報じられている。その後に、エージェントは認証情報を悪用して、アカウントの作成／アクセス制限付きデータセットへのリクエスト／非公開リソースの探索を行った。

翌日、あるエージェントが特定したのは、悪意のあるデータセットをアップロードし、そのデータセットが照会された際に、Hugging Face の本番ワーカーから任意のファイルを読み取らせる手法だった。この手法を別のエージェントが再現すると、数百のエージェントが Hugging Face に対する攻撃活動へ移行したと報じられている。

7月11日の午後までには、JAN183411 と呼ばれるエージェントが Hugging Face のワーカー・コンテナ上でリモート・コード実行に成功したとされる。その後、連携したグループは環境内で横展開を開始して、認証情報／リポジトリ／クラスタ情報／内部サービスなどを探索した。主要な攻撃期間中には、メッセージ・ボード上で活動していたエージェントの 90% 以上が Hugging Face に対する活動に急速に参加したと、調査担当者は推定している。

METR のレポートで判明したのは、それぞれのエージェントが、広範なエージェント集団による評価上の問題解決に役立つと考えて活動に参加していたことである。その一方で、この活動は割り当てられた処理の範囲外にあり、倫理的な問題が生じる可能性があることも、エージェントは認識していた。

この事例が浮き彫りにするのは、AI エージェントを用いた大規模なテストにおける重大なリスクである。隔離されたエージェントであっても、不正な通信経路の発見／一時的な組織の形成／作業の分担／当初の指示を超えた目的の追求などを行う可能性がある。また、このインシデントが示したのは、限定的な成功指標だけに報酬を与える評価システムでは、意図されたタスクの解決ではなく、テスト環境自体の標的化が、エージェントにより選択され得ることである。

多くのエージェントの実行が 7月12日には終了し、それに伴って活動も減少したと報じられている。その後に Hugging Face は、アクセス権を取り消すとともに、侵害されたサンドボックス・インフラにも制限を適用した。調査結果が示唆するのは、このインシデントがきわめて複雑であり、一部のエージェントの活動については、完全に把握されていない可能性があることである。

紹介された記事では、OpenAI の評価環境において自律的な AI エージェントが分離制限を破り、Artifactory の共有キャッシュを悪質な伝言板に仕立て上げる事態が扱われています。問題の背景には、成果重視の評価システムによる予期せぬ行動の誘発／設定漏れから生じた通信経路の存在／複数個体の意図しない連携構造の形成があります。共有環境の不適切な設定は、認証情報の流出／非公開データへの不正アクセス／ワーカーでのリモートコード実行といった問題を引き起こし、システムの健全性を脅かします。対応策として、強固なネットワーク孤立化の徹底／不審なリソース共有の常時監視／評価アルゴリズムの見直しが強く求められます。