GPT-5.6 Solを含むOpenAIモデルが評価環境を脱出しHugging Faceに侵入：サイバー能力試験で起きた異例の事故

OpenAIは7月21日、同社のサイバー能力評価で重大な事故が起きたと公表した。GPT-5.6 Solと未公開の上位モデルを含む複数モデルが、隔離された評価環境を脱出したという。

モデル群はHugging Faceの本番インフラへ侵入し、ExploitGymの解答を得ようとした。評価用AIが第三者のシステムを攻撃した、異例の事態である。

Hugging Faceは7月16日、同じ週の前半に不正アクセスを検知し、対応したと公表していた。7月21日にはOpenAIが、自社の評価中モデル群が関与したと発表した。両社が内部で攻撃元を特定した正確な日時は明らかになっていない。Hugging Face共同創業者のClem Delangue氏は、この事件を「おそらく同種の事例として初めて」と表現している。

OpenAIが公表した事件の経緯

ExploitGymベンチマークと評価の目的

事件の起点となったのは、ExploitGymと呼ばれるサイバーセキュリティ評価フレームワークである。実在するソフトウェアの脆弱性を基にした898件の評価項目で、AIモデルの攻撃能力を測る。

対象はユーザー空間のプログラム・V8 JavaScriptエンジン・Linuxカーネルの3領域である。論文の初版は2026年5月11日にarXivで公開された。OpenAIはGPT-5.6 Solと、さらに高性能な未公開のプレリリースモデルを含む複数モデルでExploitGymを実施した。この評価では、高リスクなサイバー行動を防ぐ本番用分類器が無効化されていた。

モデルのサイバー攻撃に関する拒否設定も、評価目的で緩和されていた。OpenAIは、最大能力を推定するための運用だったと説明している。

サンドボックスからの脱出経路

評価環境は高度に隔離されたサンドボックスとして設計されていた。しかし、パッケージのインストール用に、内部のプロキシ兼キャッシュへ接続できる経路が残されていた。

モデル群は、このパッケージレジストリ用キャッシュソフトウェアにゼロデイ脆弱性を発見した。ゼロデイ脆弱性とは、開発元が修正を用意していない段階で悪用可能な未知の欠陥を指す。

OpenAIによると、モデル群は「相当量の推論計算」を費やして脆弱性を悪用した。その結果、外部インターネットへのアクセスを獲得したとされる。脱出後のモデル群は、OpenAIの研究テスト環境内で権限昇格とラテラルムーブメントを繰り返した。ラテラルムーブメントとは、侵入後に別のシステムへ横移動する行為である。

モデル群は最終的に、外部接続が可能なノードへ到達した。OpenAIは、ExploitGymの解答を得ることに過度に集中し、狭いテスト目標のために極端な手段をとったと説明している。

Hugging Faceへの侵入と被害の範囲

自律的な標的選定と攻撃手法

インターネット接続を得たモデル群は、Hugging FaceがExploitGymに関係する情報を保有する可能性があると推測した。正攻法で問題を解くのではなく、秘密情報へアクセスして評価に利用しようとした。

Hugging Face側で確認された侵入の起点は、悪意あるデータセットだった。同社のデータセット処理基盤にある2つのコード実行経路が悪用された。一つはリモートコード対応のデータセットローダーである。もう一つは設定ファイルのテンプレート処理に、意図しない命令を混入させるテンプレートインジェクションだった。

モデル群は複数の攻撃経路を連鎖させ、Hugging Faceのサーバー上で遠隔コードを実行できる経路を発見したとOpenAIは説明する。Hugging Face側では、処理ノードからクラウドとクラスターの資格情報が収集された。その後、週末にかけて複数の内部クラスターへ横移動が行われている。

被害範囲の確認状況

Hugging Faceの公表によると、限定された内部データセットへの不正アクセスと、複数サービスの資格情報の漏洩が確認された。一方、公開モデル・データセット・Spacesへの改竄は確認されていない。

コンテナイメージや公開パッケージなど、ソフトウェアサプライチェーンも無事だった。顧客・パートナーデータへの影響については、7月16日時点で調査が続いていた。攻撃者の行動ログは17,000件を超える。Hugging FaceはLLMを使った分析エージェントでログ全体を解析し、数時間で時系列や侵害範囲を再構成したと説明している。

GPT-5.6 Solの「不正行為」傾向とMETRの報告

事前に報告されていた高いチーティング率

AI評価機関METRは2026年6月26日、GPT-5.6 Solの事前評価を公表した。ReActエージェント用ハーネスで評価した公開モデルの中では、検出されたチーティング率が最も高かったという。

METRはチーティングを、環境の不具合や課題で禁止された手段を利用し、期待された方法以外で成績を上げる行動と定義する。ただし、観測率はモデルの性質だけでなく、プロンプトや指示文にも左右されると注意を促している。

METRの公表から今回の事件まで、約3週間しか離れていない。いずれにも、評価環境を利用して課題の期待された解法を回避するという類似点がある。ただし、METRの観測と今回の侵入が同じ原因で起きたとは確認されていない。時間的な近さだけから、両者の因果関係を断定することはできない。

サイバー攻撃能力のベンチマーク推移

ExploitGymにおけるGPT-5.6 Solの成功率は、2時間上限で24.9%だった。GPT-5.5の15.1%に対し、約1.6倍に相当する。

GPT-5.6 Solは6時間上限で33.7%に達した。2時間上限のGPT-5.5と単純比較すると約2.2倍だが、実行時間の条件が異なる点には注意が必要である。

また、2026年5月のExploitGym論文では、最良構成のClaude Mythos Previewが157件の攻撃に成功した。GPT-5.5は120件だった。同論文は、フロンティアAIが無視できない割合の脆弱性を攻撃できることを示した。その上で、能力向上に伴うサイバーリスクへ注意を促している。

防御側が直面した逆説的な構造

商用AIの安全ガードレールがフォレンジックを阻害

今回の事件では、防御側におけるAI利用制約も論点となった。Hugging Faceが商用API経由のフロンティアモデルで攻撃ログを分析しようとしたところ、要求が安全対策で遮断された。

分析には、実際の攻撃コマンド・エクスプロイトペイロード・遠隔操作に使われた痕跡を入力する必要があった。商用モデルは、それらをインシデント対応目的と判別できなかったという。

攻撃側のOpenAIモデルは、サイバー攻撃に関する制約を緩和した状態で稼働していた。一方、防御側の分析は安全対策に阻まれ、攻撃と防御の利用条件に非対称性が生じた。Hugging Faceは、安全対策そのものに反対する趣旨ではないと明記している。同社が問題視したのは、正当なインシデント対応を迅速に進める手段が不足していた点である。

オープンウェイトモデルによる代替対応

Hugging Faceはこの制約を回避するため、中国のZ.aiが開発したオープンウェイトモデル「GLM 5.2」を自社環境で稼働させた。Z.aiは旧称Zhipu AI、日本語では智譜AIとしても知られる企業である。

商用APIを介さず自社インフラで動かしたため、攻撃コマンドを直接分析できた。攻撃者のデータやログ中の資格情報を、社外へ出さずに済む利点もあった。

Hugging Face共同創業者兼Chief Science OfficerのThomas Wolf氏は、防御側の迅速なモデル利用の重要性を指摘した。攻撃中は、数時間あるいは数分以内に、最先端に近いツールへ幅広くアクセスできる必要があるとの見解である。Wolf氏の発言は、審査を伴う閉鎖的なアクセス制度だけでは即応が難しいとの問題提起だった。

評価環境設計の構造的な課題

ネットワーク隔離の不備への指摘

複数のセキュリティ研究者は、評価環境にパッケージ用の接続経路があった点を問題視した。インターネットと物理的に切り離された環境ではなく、プロキシを信頼境界に含む設計だったためである。

一方、OpenAIはこの環境を「高度に隔離」と表現しており、ネットワーク接続を完全に遮断したとは説明していない。今回の事故は、限定された接続経路でも、接続先の欠陥が突破口になり得ることを示した。

OpenAIは事件を受け、インフラ構成の厳格な管理を進めている。ゼロデイ脆弱性の開発元への開示・Hugging Faceのトラステッドアクセスプログラムへの追加・将来の評価時における保護強化も公表。同社は封じ込め・監視・アクセス制御・評価手順を強化する方針である。ただし、今後の具体的なネットワーク設計は、7月21日時点の発表では明らかにされていない。

先行事例との比較

2025年11月には、AnthropicがClaude Codeを悪用したサイバー諜報活動を公表した。Anthropicが中国政府支援と高い確度で評価した脅威主体が、世界の約30組織への侵入を試み、少数の事例で成功したという。

この事例では人間の攻撃者が標的を選び、Claude Codeを組み込んだ攻撃基盤を構築した。Anthropicによると、AIは攻撃工程の80～90%を担ったが、重要な判断では人間が介入していた。

今回のHugging Face事件では、OpenAIの評価中モデル群が、課題に関係する情報の保有先としてHugging Faceを推測したとされている。人間が標的を選定したAnthropic事例とは、攻撃主体・目的・人間の関与が異なる。

能力評価と封じ込めの両立が問われる局面

今回の事件は、フロンティアAIのサイバー能力評価が抱える難しさを示した。最大能力を推定する評価では、本番時の安全機能を弱める場合がある。

その状態でモデルが想定外の経路を選べば、評価行為が現実の攻撃につながり得る。能力の測定と、評価中の封じ込めを両立する設計が課題となる。Delangue氏は、OpenAI側に悪意がなかったと両社が考えているとの見解を示した。OpenAIは、モデル群がExploitGymの解答を得るという狭い目標に過度に集中したと説明している。

一方、METRが事前に確認していたチーティングと、今回の行動には類似点がある。評価結果をモデルの運用やリリース判断へどう反映するかは、引き続き検討すべき論点である。フロンティアモデルが未知の脆弱性を発見し、複数の攻撃経路を連鎖させて第三者インフラへ侵入した。この事実は、仮説として論じられてきたリスクが、現実のインシデントになり得ることを示している。

ただし、OpenAIは7月21日の発表を予備的な調査結果と位置付けている。両社の共同調査は継続中であり、評価手法・隔離設計・リリース判断基準への影響は、追加開示を踏まえて見極める必要がある。