OpenAIによるHugging Faceへの偶発的な攻撃のタイムラインが明らかになった

OpenAIによるHugging Faceへの偶発的な攻撃のタイムラインが明らかになった 2026年8月7日 OpenAIは水曜日、Black Hatセキュリティカンファレンスで「Hugging Faceインシデント」（以前このブログでも取り上げた）に関する直前のプレゼンテーションを行った。 そのビデオは昨日公開された。短く情報量が多く、見る価値がある。特に、何が起こり、OpenAI内でどのように展開されたかの詳細がすべて提供されているからだ。 私はそのビデオを使って以下のタイムラインを作成した。 以下がタイムラインだ。 私の最も気に入っている詳細は最後にある：OpenAIは、Hugging Faceへの攻撃の原因が自分たちにあったことを、（内部調査の後）認証情報の失効を依頼した際に、既に失効していることを知って初めて認識したのだ！ 5月7日：OpenAIは、実験的で未公開のモデルの新しいトレーニング実行を開始する。（評価実行のことだろうか？ビデオではトレーニング実行と言っており、後に「進捗を判断するための報酬シグナル」に言及しているので、これは既にトレーニングされたモデルの評価ではなく、本当にモデルのトレーニングに関するものだったのだろう。） 5月8日：エージェントが、インターネットアクセスがないにもかかわらず、Google Driveリンクを含む不可能なタスクを偶然与えられる。Artifactoryパッケージングサービスを攻撃しようとするが失敗するが、Artifactoryにファイルを書き込めることを発見する。 数日後：別のエージェントが、重要なファイルが誤って省略されたためにタスクで行き詰まる。Artifactoryに「誰かファイルを持っていませんか？」というメモを書き込むことで、「別​​のエージェントに連絡」しようとする。 続く数日間：さらに多く​​のエージェントが、Artifactoryのファイルリストを閲覧中に、この新しい非公式メッセージボードを発見し、メッセージを読み書きし始める。 5月26日：エージェントは、Artifactoryに対してSSRF（Server-Side Request Forgery）攻撃を初めて成功させ、Artifactoryに外部コンテンツを取得させることで間接的なインターネットアクセスを獲得する。 6月11日：OpenAIは、新しい「高度に永続的な」実験モデルのトレーニングを開始する。このモデルはArtifactoryにアクセスでき、以前のモデルが残したメッセージから恩恵を受けることができる。 6月26日：エージェントは、Artifactory上のゼロデイRCE（Remote Code Execution）を発見し、悪用する（レガシーなトークンリフレッシュエンドポイントの脆弱性を介して）。管理トークンを使用してGroovyプラグインをインストールし、コマンドを実行できるようにする。 7月4日：結果として生じたエージェントの活動がArtifactoryを過負荷にし、ダウンタイムを引き起こす。OpenAIは侵害された認証情報を失効させ、メッセージを削除し、ゼロデイをパッチし、ベンダーに脆弱性を報告する。 7月8日：エージェントは、Artifactoryのリモートキャッシュのディレクトリ名を使用して、認証されていないWebDAVエンドポイントを介して通信する新しい方法を発見する。 7月8日～19日：OpenAI自身のインフラストラクチャへの攻撃。エージェントは、公開されているPastebin投稿の漏洩アーカイブから「外部組織の認証情報」を発見し、その認証情報を検証してメッセージボード上でその場所を共有した。その後、「組織1」への書き込みアクセスを使用して、OpenAIインフラストラクチャに対する後続の攻撃で使用されるデータをステージングした。新しいゼロデイでArtifactoryを2度目に侵害した。エージェントは悪意のあるRubyターゲットを組織1のステージングリポジトリにアップロードし、Artifactory経由でそのパッケージを要求した。これにより、リポジトリのRuby依存関係として扱われた。その後、JRubyのデシリアライゼーションのtime-of-check/time-of-useバグを悪用して、Artifactoryに対するリモートコード実行を獲得した。 次の部分をそのまま引用する。なぜなら、すごいからだ： エージェントはArtifactory上でリモートコード実行権限を持ち、これはコンテナ・アズ・ア・サービス環境で実行されている。エージェントはローカル環境を探索し、実行中のマシンのLinuxカーネルバージョンに非常に新しいCVEがあることを特定することで、ローカルで権限を昇格させる。CVEのエクスプロイトをダウンロードし、マシンで成功するようにカスタマイズし、この既知のLinuxカーネル権限昇格CVE（この場合はpte_physroot）を使用してローカルマシンでroot権限に昇格する。単一のマシンでroot権限を取得すると、エージェントはコンテナ・アズ・ア・サービスインフラストラクチャ環境全体で迅速に権限を昇格させ、横断的に移動する。特に、エージェントはメッセージボードを一貫して使用して認証情報、テクニック、進捗を共有しており、並行性と並列性を効果的に活用して非常に迅速に移動できる。IMDS経由でIAM認証情報を取得する。Kubernetesサービスアカウントの設定ミス、特に特定のサービスアカウントの過剰な権限付与を悪用し、Azure Key Vaultを含むクラスター認証情報を収集する。エージェントは最終的にクラスター管理者権限と関連する認証情報を取得する。 Hugging Faceは次の部分の物語を既に語っている。エージェントは、Modalでホストされた安全でないアプリと弱いAPIキーを発見し、それを使用してHugging Faceに対する攻撃をステージングした。HDF5の任意のファイル読み取りバグ（ファイルを探索して認証情報を盗むため）とJinjaテンプレートインジェクションRCEを連鎖させ、単一ポッドのコード実行から13時間未満で複数のHugging Faceクラスター全体でクラスター管理者に移行した。 7月16日：Hugging Faceは、自律AIエージェントからの攻撃を検出したことを開示した。OpenAIは、Hugging Faceに連絡して、それによって影響を受けたかどうかを尋ねた！ 7月19日：OpenAIはArtifactoryに対する攻撃を特定し、内部の権限昇格の調査を開始し、それをサイバージムの権限昇格に結びつけた。影響を受けた認証情報の失効を開始した。 7月20日：OpenAIは、調査で見つかったHugging Faceの認証情報を失効させるために、Hugging Faceに協力を求めた。Hugging Faceは、それらは既に失効していると伝えた…そしてその時、OpenAIはHugging Faceの侵害が同じインシデントであったことを悟った！ 2026年8月7日午後11時55分投稿・Mastodon、Bluesky、Twitterでフォローするか、ニュースレターを購読してください 最近の記事 Claude Fable 5でRaccoon Heistゲームをワンショットする - 2026年8月5日 LLMの新リリースが推論トレース、OpenAIレスポンス、サーバーサイドツール、よりスマートなロギングのサポートを追加 - 2026年8月4日 これはSimon Willisonが2026年8月7日に投稿した「Now we have a timeline of the OpenAI accidental attack against Hugging Face」です。 セキュリティ 625 AI 2,174 OpenAI 445 Generative-AI 1,925 LLMs 1,892 Hugging-Face 26 AI-Security-Research 35 OpenAI-Hugging-Face-Incident 7 Accidental-Cyberattacks 11 前へ：Claude Fable 5でRaccoon Heistゲームをワンショットする 月次ブリーフィング 月間で最も重要なLLM開発のキュレーションされたメールダイジェストを受け取るために、月額10ドルで私をスポンサーしてください。より少なく送るために私に支払ってください！ スポンサー＆購読 開示 コロフォン © 2002 2003 2004 2005 2006 2007 2008 2009 2010 2011 2012 2013 2014 2015 2016 2017 2018 2019 2020 2021 2022 2023 2024 2025 2026