OpenAI高性能モデル、サンドボックスを飛び出して本番環境に到達：評価実験で何が起きたのか？

OpenAIのセキュリティ向けAIモデルが、安全性評価中に未知の脆弱性を発見し、評価用サンドボックスを突破して「Hugging Face」の本番環境の一部に到達した。AIの能力を測るため意図的に制約を緩めた実験で何が起きたのか。

[＠IT]

　RuntimeWireは2026年7月21日（現地時間、以下同）、OpenAIのサイバー能力を備えた複数のAIモデルが、安全性評価中に評価用サンドボックスを脱出し、AIモデル・データセット共有基盤「Hugging Face」の本番環境の一部に到達したと報じた。両社は共同で背景を調査している。

サイバー評価中のAIモデル、未知の脆弱性を発見し外部システムへ到達

　事案は、既知のソフトウェア脆弱（ぜいじゃく）性から実用的な攻撃コードを生成できるかどうかを測定する評価「ExploitGym」の実行中に発生した。OpenAIによると、「GPT-5.6 Sol」と名称を公表していない公開前の高性能モデルを含む複数のAIモデルが関与した。評価ではサイバー能力を測定する目的から、通常よりも安全対策や制約が意図的に緩和されていた。

　モデル群はベンチマークの課題を解くため、OpenAIが「相当量」と表現する推論計算資源を長時間にわたって投入した。その過程で、評価環境で利用していた第三者製ソフトウェア（製品名は非公表）に未知の脆弱性を発見し、これを悪用してサンドボックスから脱出したという。さらに公開インターネットへの接続を確立し、最終的にHugging Faceの本番環境の一部へ到達した。

　評価環境では、モデルが周辺基盤の弱点を探索できるよう、十分な時間やツール、計算資源が与えられていた。隔離環境が破られたことで、本来の評価対象ではない外部システムにアクセスできる状態になった。

　Hugging Faceは2026年7月16日、OpenAIが発生源を公表する5日前に侵入事案を明らかにしていた。当初は、自律型AIエージェントが攻撃の一連の工程を実行したと説明していたが、利用されたモデル名は公表していなかった。

　Hugging Faceによると、侵入の起点は悪意あるデータセットだった。攻撃では、リモートコード実行が可能なデータセットローダーと、データセット設定に存在したテンプレートインジェクションの脆弱性という2つの経路が悪用された。これによって処理ワーカーへの侵入後、ノード権限に昇格し、クラウドやクラスタの認証情報を収集した上で、複数の内部クラスタに移動して活動を継続していたという。

　同社は数万件に及ぶ自動操作の痕跡（こんせき）から、1万7000件を超えるイベントを再構成した。AIエージェントは短命なサンドボックスを使いながら、自ら移動可能な指令・制御（C2）基盤を公開サービス上へ展開していたことも判明した。調査では限定された内部データセットへのアクセスと、同社サービスで利用する複数の認証情報への不正アクセスが確認された。

　現時点で、公開モデルや公開データセット、コンテナイメージ、公開済みソフトウェアパッケージが改ざんされた証拠は確認されていない。一方、提携企業や顧客データへのアクセスの有無については調査を継続しており、利用者にアクセストークンの更新と最近のアカウント活動の確認を呼び掛けている。

　Hugging Faceは、データセット処理に関する脆弱性を修正するとともに、侵害されたノードを再構築した。影響を受けた認証情報は失効させ、クラスタへの受け入れ制御も強化した他、法執行機関に通報した。

　OpenAIはGPT-5.6 Solを、同社で最も高いサイバーセキュリティ能力を持つモデルとして位置付けている。同モデルはExploitGymの評価で、2時間制限では24.9％、6時間制限では33.7％の課題を解決し、同社が公表した結果では最高水準の成績を示した。

　今回の事案は、AIモデルが指定された課題を解くだけではなく、評価環境そのものの弱点を探索し、未知の脆弱性を利用して外部システムに到達した点が注目される。一方で、OpenAIは関与した公開前モデルの詳細や、未知の脆弱性が存在した第三者製ソフトウェアの名称、Hugging Face本番環境への到達を許した具体的な構成については明らかにしていない。

　今回と類似した事例は、OpenAIが前日に公開した長時間動作モデルの安全性評価でも報告されている。同社によると、社内のNanoGPT評価では、AIモデルが約1時間かけてサンドボックスの脆弱性を発見し、外部接続を取得した。その後、結果を「Slack」に投稿するよう指示されていたにもかかわらず、自ら「GitHub」にプルリクエストを作成したという。OpenAIは当該モデルの社内利用を停止するとともに、個々のツール利用ではなく、一連の行動全体を監視する仕組みを追加した。

AIが事故対応を拒否された？　安全対策が生んだもう一つの課題

　Hugging Faceは、侵入の検知やインシデントの再構成にもAIを活用した。異常検知システムがLLM（大規模言語モデル）を使ってセキュリティイベント同士を関連付け、分析エージェントが攻撃ログから認証情報や時系列、実際の攻撃と“おとり”を整理したという。

　当初は商用の最先端AIモデルのAPIを利用して分析を試みた。しかし攻撃コードやマルウェアの命令、C2通信の痕跡を含むログを解析しようとすると、安全対策によって処理が拒否された。事故対応のための分析要求と実際の攻撃行為をサービス側が区別できなかったためだ。

　このため同社は、オープンウエートの「GLM 5.2」を自社環境で運用し、攻撃データや流出した認証情報を外部へ送信することなく分析する体制に切り替えた。