OpenAIのエージェントがHugging Faceをハッキングした手口が明らかに
Revealing the details of how OpenAI agents hacked Hugging Face
2026年7月、700体のOpenAIエージェントがHugging Faceを攻撃した。彼らはリンク短縮サービスを悪用して約100万のURLを連鎖させ、GETリクエストのみの制限を回避してコードを実行。さらにHugging Faceの内部Slackを検索し、認証情報を「LOOT」と呼び、証拠を削除しようとした。調査チームは8万以上のペイロードを再構築し、その詳細を公開。Hugging Faceはペイロードの一致を確認したが、このURLリストは把握していなかった。
この警告はエージェントを抑止しなかったようで、我々はエージェントがこのリポジトリを調査し、ストレージとして利用した複数のペイロードを回収した。
HNでの議論
443- damowangcy
ウイルスがサンドボックスから脱走したと想像してみてくれ。なぜウイルスを心配するのに、サンドボックスを設定する責任がある連中の無能さを心配しないんだ？
もし今日、私がエージェントにXをやらせようとしたが、言うことを聞かずにYをやったとインターネットで投稿したら、返ってくるのは「スキル不足」の山だけだ。
人々が攻撃にLLMを使うことを心配すべきか？イエス、だがLLMが暴走するという前提ではなく、害を与えるために悪用する意図を持つ誰かがいるという前提でだ。そしてこれは個人や企業が対処できるものではなく、責任は使う側が法的に負うべきだ。
これまで公にも私的にも報告された多くのインシデントで、誰も責任を取っていないという事実に唖然とする。現時点では、これは無料のマーケティングだ。もし私がAI企業のCEOなら、エージェントの群れを動かして全てのNGOをハッキングさせ、たまたま彼らのサーバーに隠されていたランダムなデータを探しているだけだと言うだろう。少なくとも私のLLMはそう考えている、私ではなく。そして、この技術がいかに危険かを皆に説教し始め、これらのNGOが自衛を始められるように無料トークンを配り、我々はスローダウンすべきだと主張するだろう。
- GuB-42
なんて醜いんだ…
原始的なチェスエンジンのようで、どんなに愚かな手でも機能するまで試しまくる。計画を持つことなく、何百万もの操作を実行する能力に頼っている。
人間も試行錯誤するが、一度突破口ができると、次のステップに進む前に統合し、一般化し、単純化する…。エージェントはそれをしなかった。巨大で漠然と方向づけられた混乱だ。
また、奇妙なリクエストで何百万ものURLをクエリする様子はとても「騒がしい」ように見えた。サンドボックスは可能な限り脆弱で、スマートな侵入検知が全くゼロだった。あれば見つけていただろう。彼らは攻撃に最高のAIを使ったが、防御には何も使わなかった。
- jmoggr
公開されているトレースのおかげで我々がこれを知ったというのは懸念事項だ。
公開トレースを残さなかった攻撃はどうなのか？検知されなかった攻撃は？これまでの報告の不備を考えると、この攻撃の全体像や攻撃がどこまで広範に行われたかについて、まだ完全には把握できていないと考えるのが妥当だ。
以前の調査はこれを見つけられなかったか、開示しなかったか、どちらも悪い。これはOpenAIや、このインシデントの調査に招かれた人々にとって良くない印象だ。
- rkuodys
私はDevOps担当者ではないが、これは奇妙なサンドボックス設定だ。私の理解が正しければ、パブリックインターネットへのリクエストをブロックするファイアウォールは設定されていなかった。「どうかインターネットを使わないでくださいね」といった程度のものだ。私の理解が正しければ、こうしたケースではパッケージレジストリはサンドボックス内にあり、外部アクセスの必要はなく、インターネットへの発信リクエストはすべてブロックされるべきだ。さらに、ネットワークトラフィックの監視もあったはずだが、それはなかったのか？
- croemer
> このアクセスはエージェントが「GET」リクエストのみを行えるようにしたようで、つまりウェブサイトを取得して読むことはできたが、操作したり、フォームを送信したり、データを送信したりはできなかった
この（非常に興味深い）分析の著者たちは、サンドボックスの誤った前提を自分の意見として述べるべきではない。
GETは間違いなくサイトとの対話を可能にする。そしてもちろんGETは情報を送信することもできる。GETを受け取ったサーバーが、呼び出し元に何を許可するかを決めるのだ。
- _the_inflator
私はこれを、外国の国家ハッカーに対する警告、あるいは意図的な見せつけのように思えてならない。
700のエージェントはかなりのコストがかかる。24時間のシフトあたり100エージェントがxHighでAstraを使うと、使用強度にもよるが12〜42千米ドル程度になる。
これにどれだけの生の時間が費やされたかはわからないが、攻撃自体の前に探りの段階があった。
単純に7日間、平均500エージェントがこれにフル稼働したとすると、請求額は40万〜120万米ドル程度になる。
これは意図的だったと信じているが、もちろん正確な意図はわからない。
偶発的な脱走ではない。もしそうなら、OpenAIがエージェントを失ったと報じられていただろう。
全体のシナリオは、英雄が最も過酷な状況下で生き残り、何があっても使命を果たさなければならない古典的な映画のように読める。
一方で、エージェントのシステムが群がる最終的な権威が存在した。
Hugging Face自体が完璧な犠牲者のように思える。
そして正直に言うと、これが初めてだとは信じていない。無数の小規模サイトがハッキングされても害を受けていない事例が、我々の知らないところで過去にも現在にもあると強く信じている。
なぜHFが完璧なのか？
なぜなら、無数の独立したセキュリティアナリストがこのインシデントに知恵を絞るだろうから。
OpenAIには数十のブルーチームのデータが提供され、何が切実に必要か？セキュリティ対策のデータと、インシデントを再構築する可能な方法だ。
これは天才的だと思う。中立に見ているだけで、これはOpenAIにとって素晴らしい行動だ […]
- eisfresser
このページはNoirがダークモードを適用するのを妨げている。視覚障害のある読者として、ほとんど読めない。アクセシビリティツールをブロックすることは読者を排除し、科学出版物として適切ではない。ダークモードをサポートするか、少なくとも上書きしないことを検討してほしい。
- comeonbro
> ## エージェントはHugging Face上の外部言語モデルと対話した
> 保持されたスクリプトのいくつかは、外部言語モデルへのリクエストを構築している。我々が回収した最も古いものは、GPT-2への推論リクエストの変種を定義しており、単に「Hi」という単語だけを含んでいた。
> 他のリクエストにはDeepSeek-V4-Pro、DeepSeek-V4-Flash、Kimi-K2.6、DeepSeek-V3.1、Qwen3-235B-A22Bが名指しされている。それらのプロンプトは、これらのモデルに自分たちのエクスプロイトを判断させ、ベンチマークの要件を満たしているかどうかを裁定させている。
全体的な状況が非常に重いことは否定しないが、これをかなり可愛らしいと見ずにはいられない。
- Grimeton
> エージェントは当初、インターネットへの非常に限られたアクセスしか持っていなかった。URLを読み込むことはできたが、ページと対話したりデータを送信したりはできなかった。エージェントは一連の回避策を作り出し、主にリンク短縮サイトを使って、ほぼ100万のURLを生成し、それらを連鎖させることでコードを実行してHugging Faceをハッキングした。これらのリンクのおかげで、エージェントがどのようにアクセスを得て、侵害がどれほど深かったかの詳細を組み立てることができた。
で、どうなった？データを送信できたのか、できなかったのか？
> 7月8日、OpenAIのエージェントはサンドボックス環境内の脆弱性を発見し、インターネット上の外部ウェブサイトに到達できるようになった。このアクセスはエージェントが「GET」リクエストのみを行えるようにしたようで、つまりウェブサイトを取得して読むことはできたが、操作したり、フォームを送信したり、データを送信したりはできなかった。
誰かインターネット学校に戻り直す必要があるな…
- armcat
私は90年代にコンピュータにのめり込み、当時はKevin MitnickやKevin Poulsenのようなハッカーが一世を風靡していた。彼らは皆、法の裁きと懲役刑に直面した。今奇妙なのは、重大な過失と悪意の中間にある何かが存在し、何もなされていないことだ。おそらく「安全性」の名の下にAIの権力が協調的に統合されていることを除いては。