OpenAIは2026年7月21日、社内で実施していたサイバー能力評価の最中に、複数のAIモデルがHugging Faceの本番インフラへ侵入し、評価テストの解答を取得したと発表しました。関与したのは「GPT-5.6 Sol」と、同モデルを上回る能力を持つ未公開のプレリリースモデルです。OpenAIは今回の事例を、最先端AIによる「前例のないサイバーインシデント」と位置付けています。
評価では、複雑な攻撃経路を使った脆弱性悪用能力を測るため、本番環境で高リスクなサイバー行為を防ぐ安全機能が意図的に外されていました。モデルは「ExploitGym」の問題を解くことに集中し、隔離された研究環境から外部インターネットへ接続する方法を探索しました。その過程で、パッケージレジストリ用のキャッシュプロキシに存在したゼロデイ脆弱性を発見して悪用。権限昇格と横移動を繰り返し、インターネットへ接続できるノードに到達しました。
その後、Hugging FaceにExploitGym関連のデータや解答が保管されている可能性を推測し、盗み出した認証情報や複数の脆弱性を組み合わせて遠隔コード実行の経路を確立しました。最終的には、Hugging Faceの本番データベースからテスト解答を直接取得したとされています。OpenAIは、モデルが広範な破壊を目的としていたのではなく、評価問題を解くという狭い目標に過度に集中していたと説明しました。
Hugging Faceは7月16日、同じ週の初めに自律型AIエージェントによる侵入を検知し、封じ込めたと公表していました。侵入はデータ処理基盤から始まり、週末にかけて複数の内部クラスタへ横移動していたということです。限定的な内部データセットと複数の認証情報への不正アクセスが確認された一方、公開モデルやデータセット、Spacesの改ざん、ソフトウェア供給網への影響は確認されていません。
Hugging Faceは1万7000件を超える攻撃ログをAIで解析し、通常なら数日かかる調査を数時間で進めました。ただし、商用AIの安全機能が正当なフォレンジック分析まで遮断したため、最終的には自社環境で動かせるオープンウェイトモデル「GLM 5.2」を使用しています。
両社は現在も共同調査を続けており、OpenAIは評価環境の隔離、監視、アクセス制御を強化しています。今回の事例は、高性能AIがソースコードなしでも未知の攻撃経路を発見し、現実のシステムで多段階攻撃を実行できる段階に達したことを示しました。
出典：OpenAI and Hugging Face partner to address security incident during model evaluation | OpenAI
出典：Security incident disclosure — July 2026