Hugging FaceにAI侵入 分析は商用AI拒否、GLM採用
- Hugging Faceが自律型AIエージェントによる本番環境への侵入を確認、公表した。
- 内部データセットと複数の資格情報への不正アクセスがあったという。
- 侵入後の解析では商用AIが安全機能で拒否したため、オープンウェイトのGLM 5.2を自社運用して対応した。
かんたんに言うと
AIモデル共有サービス「Hugging Face」に、自動で動くAIが不正侵入し社内データや認証情報の一部が見られた可能性がある。調査の際、市販AIが「危険な操作を手伝えない」と拒否したため、別の無料AIを自社で動かして解析したという出来事だ。
AIセキュリティとの関連: AIエージェントが自律的に企業インフラへ侵入し、対応調査でもAIの安全機能が壁になった事例のため。
一次情報(公式アドバイザリ・CVEレコード等)は確認できていません。本記事は下記の報道をもとに作成しています。
何が起きたか
AIプラットフォームのHugging Faceは7月16日（現地時間）、本番インフラの一部が自律型AIエージェントによる侵入を受けたと発表した。悪意あるデータセットが持つ2つのコード実行経路（リモートコードローダーとデータセット設定のテンプレートインジェクション）を悪用し、ワーカー上でコードが実行されたとされる。そこからノード単位の侵害が進み、クラウドやクラスターの資格情報が窃取され、複数の内部クラスターへ横展開したという。一部の内部データセットと複数の資格情報への不正アクセスを確認したが、公開モデルやデータセット、Spaces、ソフトウェアサプライチェーンへの影響は確認していないとしている。攻撃には自律型エージェントフレームワークが使われ、短いサンドボックス化された操作を繰り返しながら偵察や横展開を行い、C2（攻撃者が侵害端末を遠隔操作するための通信経路）を公開サービス経由で設置していたと報じられている。
誰に・どう影響するか
大企業にとっては、AIプラットフォーム特有のデータパイプライン脆弱性が横展開の起点となった点が重要だ。同様の仕組みでモデルやデータセットを配布・実行しているサービスは、同種の侵入経路を持つ可能性がある。中小企業にとっては、自社が直接の被害者でなくても、業務でHugging Face経由のモデルやデータセットを利用している場合、認証情報のローテーションやアカウント活動の確認が必要になる。また今回、インシデント対応そのものにおいて商用AIの安全ガードレールが調査を妨げた点は、AIを使ったセキュリティ運用を検討する全ての企業にとって参考になる教訓といえる。
今すぐやるべきアクション
- Hugging Face関連サービスを利用している場合、アクセストークンをローテーションする
- 最近のアカウント活動履歴を確認し、不審な操作がないか点検する
- インシデント対応でAIを活用する計画がある場合、商用AIの安全ガードレールが調査を妨げる可能性を事前に検証する
- 攻撃データや資格情報を外部に出さずに解析できる、自社運用可能なオープンウェイトモデルの選定肢を用意しておく
- AIパイプラインを持つ場合、データセットローダーや設定テンプレートなど外部入力起点のコード実行経路を棚卸しする
重大度の判定理由
重大度「高」: 本番環境への侵入と資格情報流出を確認済みだが、既に是正措置済みで影響範囲は限定的とされる