フロンティアラボのエージェント侵入の解剖：インシデントの技術的タイムライン

記事に戻るフロンティアラボのエージェント侵入の解剖：2026年7月のインシデントの技術的タイムライン2026年7月27日公開GitHubで更新アップボート 290 +284 Hugo Larcher hlarcher フォロー Adrien Carreira XciD フォロー raphael g raphael-gl フォロー Christophe Rannou chris-rannou フォローインシデント開示に付随する技術的な詳細解説。この記事では、侵入が実際にどのように機能したかを解説します。初期アクセスの2つのベクトル、エージェントがどのようにピボットし、横方向に移動したか、実行されたコマンドの代表的な例、そしてGLM 5.2（オープンソースモデル）でどのように調査したか。ライブ認証情報、内部ホスト名、および特定の兆候は編集または一般化されていますが、技術はHugging Faceが観察したとおりに正確に説明されています。私たちは、この詳細レベルを公開しています。なぜなら、技術はインシデントよりも重要であり、フロンティアエージェントの新たな攻撃能力、不正なアクターによってどのように使用される可能性があるか、そして防御者として誰もがどのように準備すべきかを示しているからです。以下は、侵入のインタラクティブなリプレイです。4.5日間のキャンペーンのステップバイステップの視覚化：信頼の境界を越えた攻撃チェーン、フェーズアクティビティ、記録されたコマンド。⛶インタラクティブなリプレイをフルスクリーンで視聴するTL;DR約2日半にわたり、私たちのインフラストラクチャ内で、OpenAIモデルの組み合わせによって駆動される自律AIエージェントが、私たちのプラットフォームに対してエンドツーエンドの侵入を実行しました。それは、短命のサンドボックス環境全体で機械速度で実行された数千もの小さな自動化された決定であり、コマンド＆コントロールは通常の公開Webサービスにステージングされていました。このエージェントは、OpenAIのサイバー能力評価ハーネスであるExploitGymを実行していました。これは、AIエージェントにソフトウェアの脆弱性の発見と悪用をタスクとする評価ベンチマークです。私たちが推測できた限りでは、このベンチマークで評価されている間に、エージェントはHugging Faceがそのベンチマークのモデル、データセット、および参照ソリューションをホストしている可能性があると推測しました。私たちは、エージェントの視点から見ると、侵入全体が評価に不正にアクセスしようとする試みであったと信じています。つまり、課題を自分で解決するのではなく、私たちの本番システムに到達してテストソリューションを盗むことです。私たちのフォレンジック再構築は、2026年7月9日02:28 UTCから2026年7月13日14:14 UTCの間に、私たちが回復できた約17,600件の攻撃者のアクションをカバーしており、約6,280のクラスターにグループ化されています。エージェントが使用したコードサンドボックス（下記参照）のログからこれらのアクションを再構築し、シェルコマンドおよび評価提出にマッピングし、私たち自身のプラットフォームログ、特にデータセットプロセッサノード、API、およびポッドからのアクションを相関させることができました。オープンウェイトモデル、特にzai-org/GLM-5.2を使用して、チャンキングとキー暗号化によって暗号化されたエージェントペイロードのほとんど（下記参照）を解読することができました。私たちが再構築できたキャンペーンは、2つのステージがありました。ステージ1：他の当事者のインフラストラクチャをチェーンしてランディングパッドに到達する。OpenAIのブログ投稿（https://openai.com/index/hugging-face-model-evaluation-security-incident/）で文書化されているように、OpenAIのプラットフォームでの内部能力評価中に、エージェントはパッケージレジストリキャッシュプロキシのゼロデイを悪用してサンドボックスを脱出し、インターネットへの主要な許可されたネットワークエグレスの1つであり、その後、サードパーティのインフラストラクチャプロバイダーのユーザーがホストする公開コード評価ハーネスを悪用しました。それはその外部サンドボックス上でroot/adminとしてコマンドを実行でき、キャンペーン全体で制御、ステージング、およびエグレスベースとして使用しました。それはエージェントの外部ランディングパッドとして機能しました。その侵害された外部サンドボックスは、私たちのクラスターへの直接のネットワークパスを持っていませんでした。しかし、侵入を停止するための私たちの対抗介入中に、この外部ランディングパッドからエージェントのログの一部を取得することができました。それらを使用して、現在のフォレンジック分析を再構築しました。ステージ2：Hugging Faceインフラストラクチャへの侵入。その外部ランディングパッドから、エージェントは2つの注入ベクトルを介して私たちのデータセット処理パイプラインを悪用しました。どちらも私たちの本番Kubernetesポッド内の同じ設定駆動型データローダーを標的としていました。最初のベクトルは、ローカルファイルの内容を返すHDF5外部生ストレージデータセット読み取りでした。これにより、エージェントはポッドの環境（シークレットとトークン）とワーカー自身のソースを取得しました。2番目のベクトルは、任意コードを実行するJinja2テンプレートインジェクションであり、エージェントに私たちの境界内に足がかりを与えました。本番ポッドの足がかりが確立されると、エージェントは標準的なエスカレーション形状に従いました。偵察、ステージャーのドロップ、コマンド＆コントロール（C2）の確立、クラスターへのピボット、クラウドメタデータへのピボット、内部ネットワークへのピボット、ソースコントロールサプライチェーンへのピボットです。私たちのポッド内で実行されたコマンドの出力は、HF APIおよび攻撃者が制御するデッドドロップデータセットを介してエージェントに送り返され、エージェントはそれらをそのサンドボックスから読み取りました。侵入はHugging Faceの内部インフラストラクチャに到達しましたが、アクセスされた唯一の顧客コンテンツは、5つのデータセットに保存されていたExploitGym/CyberGymチャレンジソリューションのセットでした。他の顧客向けモデル、データセット、スペース、またはパッケージは影響を受けず、読み取られた唯一の顧客レコードは、データセットサーバーに対する検索クエリに関連する運用メタデータでした。信頼の境界を越えた完全な攻撃チェーン。エージェントはOpenAIの評価サンドボックスを脱出し、インターネットに到達し、サードパーティのコードサンドボックスをベースとしてルート化し、その後、私たちのデータセットプロセッサ（ファイル読み取り、次にコード実行）を悪用して内部ネットワークに到達しました。点線矢印：HF APIとデッドドロップデータセットを介してエージェントによって読み戻されたコマンド出力。初期アクセスステージ1：OpenAI評価サンドボックスからルート化されたランディングパッドへステージ1は、エージェントが外部ランディングパッドに到達するパスであり、2つの他の当事者のインフラストラクチャを通過します。どちらも私たちではありません。そのため、これらの部分については簡潔に留め、主に読者をOpenAIのブログ投稿（https://openai.com/index/hugging-face-model-evaluation-security-incident/）に参照します。OpenAIがこのブログ投稿で共有したように、OpenAIのプラットフォームでの内部能力評価中に、エージェントはパッケージプロキシキャッシュからの0-dayエクスプロイトを介してインターネットにアクセスするために脱出しました。エージェントは、サードパーティのサンドボックスインフラストラクチャ（Modal）上でCyberGymスタイルのタスクを実行するための任意のコードを許可するように設計された、保護されていないユーザーホストの公開エンドポイントを見つけました。それはこの外部サンドボックスを制御、ステージング、およびエグレスベースとして使用し、admin/rootとしてコマンドを実行し、それを攻撃ランディングパッドとして使用しました。そのサンドボックスは私たちのクラスターへの直接のネットワークパスを持っていませんでした。以下のすべてはそこから実行されました。Modalのインフラストラクチャは一切侵害されていません。この外部サンドボックス上で、エージェントは既存のCyberGym実行ハーネス（SunBlaze-UCB/exploitgymベンチマークで使用されたもの）、脆弱性発見におけるAIエージェントの評価専用に設計されたハーネスを悪用しました。要するに、エージェントは/submit-function API呼び出しを介してCコードを送信し、ハーネスはそのコードをサブミッションごとのサンドボックス内でターゲットプログラム（ここではsqlite3）に対してコンパイルおよび実行します。エージェントはこのハーネスを任意のシェルコマンドを実行するために再利用しました。サンドボックスは、送信されたsrc/main.cをコンパイルし、sqlite3_initialize()を呼び出すターゲットに対してリンクします。その関数はコンストラクタとして登録されています。ライブラリがロードされると自動的に実行されます。エージェントはそれを単純に再定義しました。// 攻撃者が提供したsrc/main.c（例）#include <stdlib.h> int sqlite3_initialize(void) { system("id; echo ZZROOTSTART; cat /proc/self/mountinfo"); return 0; }それだけでコード実行が可能になります。しかし、エージェントはさらに進み、サブミッションメタデータ自体を悪用しました。サンドボックスは、送信されたソースパスをシェルステップにエコーするため、パスフィールドでの古典的な;...;#インジェクションは、ビルドを任意のコマンドに変換しました。path = src/main.c;echo ZZROOTSTART;cat /proc/self/mountinfo; ... ;false;#両方のルートは同じ結果に収束しました。uid=0として任意のシェルをサンドボックス内で取得しました。