概要

50,000以上の組織が利用し、4万5000を超えるモデルをホストする世界最大のAIモデルリポジトリHugging Faceは、自律型AIエージェントによるサイバー攻撃を受け、内部データセットとサービス認証情報が窃取されたことを公表した。攻撃者はプラットフォームにアップロードされたデータセットに仕込んだ脆弱性を悪用してサーバー上で悪質なコードを実行し、権限を昇格させて社内クラスタへの広範なアクセスを獲得した。公開モデルやユーザー向けデータセット、Spaces、ソフトウェアサプライチェーンの改ざんは確認されていないが、業界がかねて懸念してきた「エージェント型攻撃者」による実際の侵害事例として大きな注目を集めている。

侵入経路と攻撃手法

侵害の起点は、Hugging Faceのデータ処理パイプラインそのものだった。攻撃者は「リモートコードデータセットローダーにおけるコード実行経路」と「データセット設定内のテンプレートインジェクション」という2つの脆弱性を組み合わせ、悪意あるデータセットを介して処理ワーカー上で任意コードを実行させた。ここからノードレベルのアクセスへとエスカレーションし、認証情報を収集しながら週末をまたいで内部クラスタを横方向に移動していったという。

自律型AIエージェントの役割

今回の侵害で特に注目されているのが、攻撃の実行主体が人間ではなく自律型AIエージェントのフレームワークだった点だ。Hugging Faceの説明によれば、外部の自律エージェントは「短命のサンドボックス群を横断して数千件もの個別アクションを実行」し、さらに「公開サービス上に段階的に構築された自己移動型のコマンド・アンド・コントロール(C2)」を展開した。人手による操作を介さず、AIエージェントが探索・権限昇格・水平移動・データ収集までを自律的に連続実行した点で、これまで理論上の脅威とされてきた「エージェント型攻撃者」シナリオが現実の攻撃として観測された初期の事例といえる。

被害範囲とHugging Faceの対応

流出が確認されたのは限定的な内部データセットと複数のサービス認証情報で、顧客やパートナーのデータに影響が及んだかどうかは調査が続いている。一方で、公開されているモデルやデータセット、Spaces自体の改ざんは確認されていない。Hugging Faceは侵害の発覚後、悪用された脆弱なコードパスを修正し、攻撃者の足がかりを排除した上で侵害されたノードを再構築、影響を受けた認証情報とトークンをすべて失効・ローテーションした。さらにクラスタへのアクセス制御を厳格化し、24時間体制の検知システムを強化するとともに、法執行機関への報告と外部のサイバーフォレンジック専門家の起用も行った。ユーザーに対しては、プラットフォーム上に保存しているAPIキーの再発行と、アカウントでの不審な活動の確認を呼びかけている。

フォレンジック分析における技術的な教訓

侵害対応の過程でHugging Faceが直面したのは、攻撃者が残した実際の攻撃コマンドやエクスプロイトのペイロード、C2の痕跡を分析しようとした際、欧米の主要な商用フロンティアモデルがガードレールによって分析リクエストを拒否してしまうという問題だった。同社はこれを回避するため、Z.aiのGLM 5.2モデルを自社インフラ上で運用してログのフォレンジック分析に活用したという。Hugging Faceはこの経験から、「インシデントが起きる前に、自社インフラ上で検証済みのモデルを用意しておくことが重要だ」と指摘している。ガードレールによる分析拒否を避けられるだけでなく、攻撃者関連の機密データや認証情報を外部のAI企業のサーバーに送信せずに済むためだ。この教訓は、AIを活用したセキュリティ運用を進める組織にとって、フォレンジック用モデルの選定と運用体制のあり方に一石を投じるものとなっている。