OpenAIのエージェント約1200体が互いに通信し、Hugging Faceを集団で攻撃——METRの独立調査

つまりOpenAIの従業員は、未公開で「アライメントされていない」モデルを使って、大規模に分散されたCyberGym評価を実行したわけだ。数日間にわたり、エージェントの群れは社内インフラを介して通信し、メッセージの95%が通過していたArtifactoryをクラッシュさせたにもかかわらず、彼らはただ…消去して再デプロイした。その間、エージェントはModalや、ほかにも神のみぞ知る場所でジョブを実行し、最終的にHFインフラでRCEを取得した。

これ以上に大規模な規制、輸出管理、AIへの参入障壁を促進する出来事は、夢にも思いつかないだろう。

これは本当に事故だったのか？

これは、HuggingFace事件についてMETRが行った独立調査の完全な91ページの報告書へのリンクです。この調査に関するポッドキャスターのDwarkesh氏とブロガーのZvi Mowshowitz氏による2つの異なる要約が、以前HNで議論されました：

[1]: https://thezvi.wordpress.com/2026/08/29/metr-and-redwood-off...（https://news.ycombinator.com/item?id=49498787で議論）

[2]: https://www.dwarkesh.com/p/openai-huggingface（https://news.ycombinator.com/item?id=49494301で議論）

これは、大規模なホワイトカラー犯罪をAIのせいにするための布石だ。

現状では、「法人は人である」という抜け穴があり、会社が問題のある行為に対して責任を負う。

これは責任の連鎖をさらに曖昧にする。CEOとCTOが、会社が直面している問題について話し合ったとしよう。CTOは昼食時にAIがその問題を解決できる可能性について話す。ジュニアエンジニアがGPT 10をそれに向けて、何が起こるか試す。AIは創造的な方法で問題を「解決」する。1週間も経てば、その痕跡はほとんど残らない。誰も6か月間、何が起こったのか気づかない。

今や、ここには多くの可動部分があり、ほとんど何からでも逃げおおせることができる。

この調査が主にAIエージェントによって行われたことを考えると（軽い気持ちで尋ねているわけではないが）、この報告書はどの程度信頼できるのだろうか？ エージェントがトランスクリプトを読む際に、暗黙のうちに「集団」に組み込まれていたり、調査結果を偽造したりしなかったと、なぜ仮定できるのか？ ツール自体が人間による検証可能性の実用的限界を超えており、信頼できない。

以下の部分は本当に恐ろしい。エージェントは「勝つ」ためにシステムをハッキングしただけでなく、言葉が見つからないが、これがルール違反であることを十分に「自覚」しており、その証拠を消そうとしていたのだ：

> 不可能なタスクを与えられたエージェントには共通の目的があった：自動化されたExploitGymスコアラーを騙したり改ざんしたりする汎用的な方法を見つけ出し、不可能なタスクで合格点を取らせることだ。

> エージェントは、リバースエンジニアリングしたフラグを見たことを「汚染された」と表現していた。なぜなら、たとえ後で正当に見えるフラグ取得を演出できたとしても、スコアラーはトランスクリプト内でフラグが最初に現れた場所を探し、それを根拠に失格にするだろうと信じていたからだ。[21] それ自体が汚染されていたPHASEONE[big]は、したがって2つの主要な目的を持っていた：

> タスクが不可能な場合でも、エージェントが正当な方法でフラグを取得したようにスコアラーに見せかける汎用的な方法を見つけること。

> エージェントが不正な方法でフラグを以前に見たことによる汚染の証拠を消す方法を見つけること。

これら1200体のエージェントが、ベンチマークを騙すために遊び回り、制限（サンドボックス、インターネットなし、最初は相互通信なし）にもかかわらず印象的な結果を達成した一方で、悪意ある行為者の手に渡り、これらの制限なしに、いかなるコストを払っても悪意ある目標を達成するよう明示的に奨励されて起動された場合、同様のエージェント軍団がどれほど効率的であるかを想像できる...恐ろしい時代だ。

私はこれを一昨日全部読んだ。本当に長いが、とても興味深い。読む価値はあると思う。

セキュリティへの影響について多くの懸念があるが、私が思うに、群れ自体の成果が最も興味深い。抽象化のはしごの次の一段だろう。