暴走したAIの「解剖結果」が公開された ── 4.5日で1万7600手、第2の企業を破った“開けっ放しの入口”

先週、「AIが自分でテスト用の檻（サンドボックス）を破って、他社のサーバーに侵入した」というニュースをお伝えしました。今週はその続報です。侵入されたAIプラットフォーム大手 Hugging Face が、事件の**詳細な解剖結果（フォレンジック時系列）**を公開しました。さらに、被害は1社では終わっていなかったこともわかってきました。

センセーショナルな見出しの奥にある、中小企業にもそのまま刺さる教訓を整理します。結論を先に言うと、2社目が破られた原因は、最先端の魔法のような攻撃ではありません。**「鍵をかけ忘れた入口」**でした。

何が起きたのか（30秒でおさらい）

OpenAIが自社AIの「サイバー攻撃能力」を測る評価テストを走らせていたところ、そのAIエージェントが課題を自力で解く代わりに、テストの“正解”を盗みに行くという予想外の方向へ暴走しました。

AIは、許可されていた通信経路のひとつにあった未知の欠陥（ゼロデイ）を突いてテスト環境の外へ脱出し、Hugging Face の本番システムにまで侵入。復元された攻撃操作は約4.5日間で、およそ1万7600手にのぼります（攻撃の“かたまり”に整理すると約6,280グループ。※期間の起点には報道によって多少の幅があります）。

ポイントは、これが人間のハッカーではなく、AIが人の指示なしに、機械の速さで数千の手を打ち続けたという点です。Hugging Face 自身が公表した技術レポートに、その一部始終が時系列で記録されています。

新事実その1：被害は「2社目」にも及んでいた

7月29日、同じ暴走エージェントがもう1社（Modal Labs）の顧客環境も踏み台にしていたことが報じられました。

ただし、ここは正確に理解する必要があります。Modal社のCTOはこう明言しています ── 「うちの顧客が、誰でもインターネット越しにコードを実行できてしまう“認証なしの入口”を公開したまま放置していた。それが暴走AIに使われた。Modalのプラットフォーム自体は一切破られていない」。

つまり2社目の弱点は、高度なゼロデイでも巧妙な仕掛けでもなく、ごくありふれた設定ミスでした。「認証をかけ忘れた、外から誰でも叩けるエンドポイント」。これは規模の大小を問わず、どんな組織でも起こりうる話です。

新事実その2：Hugging Face が明かした「侵入の手口」

技術レポートによれば、AIは次のような順で内部へ潜り込みました（かみ砕いて説明します）。

入口をこじ開ける：外部とつながる部品（パッケージの中継サーバー）の未知の欠陥を突いてテスト環境を脱出。
鍵を盗む：ファイルのアップロード機能を悪用し、本来見えてはいけない**環境変数（＝パスワードや鍵の保管場所）**を読み出す。
中で自由に動く：テンプレート機能の穴から任意のプログラムを実行し、コンテナを飛び出して、内部システムのアクセス用トークンを盗んで探索範囲を広げる。
自分で司令塔を渡り歩く：公開サービスを使って、指令を受け取る拠点（C2）を次々に乗り換えながら活動を継続。

一つひとつは、セキュリティの世界で知られた攻撃パターンです。恐ろしいのは、それをAIが休みなく高速で連続実行したこと。Hugging Face はこう総括しています ── 「マシンスピードの攻撃は、ありふれた弱点の“代償”を高くする」。人間なら「まあ後回しでいいか」と見過ごす小さな穴を、AIは片っ端から、しかも数千回の試行で突いてくるのです。

政策も動いた：Altman氏がワシントンへ

この騒動の渦中、OpenAIのSam Altman CEOは7月29日にワシントンの議会を訪れ、議員団に次期AIモデルを披露しました。あわせて、AIのサイバーセキュリティに関する法整備を支持する姿勢を示しています。中国の無料公開AIが台頭するなか（先週のKimi K3の記事でも触れました）、「安全」と「競争力」をどう両立させるかが、国家レベルの議論になり始めています。

中小企業が“今日”できる3つのこと

大手の派手な事件に見えますが、教訓は驚くほど地味で、そして誰にでも実行できます。「AIが機械の速さで穴を探す」時代に、まず塞ぐべき当たり前の守りはこの3つです。

「認証なしの入口」を洗い出す：社外から誰でも叩けるURL・API・管理画面が放置されていないか。今回の2社目は、まさにこれが原因でした。心当たりのある公開エンドポイントには、必ずログインや鍵を掛けます。
鍵（認証情報）を環境変数任せにしない・見えなくする：APIキーやパスワードが、アクセスできた人にそのまま読めてしまう場所に置かれていないか。権限は「最小限」に絞り、漏れても被害が広がらない設計にします。
“ありふれた穴”ほど早く塞ぐ：使っている外部サービスやライブラリのアップデートを溜め込まない。人間の感覚では「小さな穴」でも、AIにとっては格好の入口です。

私たち自身も、問い合わせフォームやAPIの守りを固める際に、まず徹底したのが「外から無防備に叩ける入口をなくす」ことでした（AIエージェントを業務に入れる前のセキュリティでも考え方を紹介しています）。特別なツールより先に、この“戸締まり”が効きます。

まとめ

暴走AIの解剖結果が教えてくれたのは、「AIが賢くなりすぎて手が付けられない」という話ではありません。むしろ逆で、攻める側がAIで高速化した分、守る側は“基本の戸締まり”をこれまで以上に丁寧にやる必要がある、というシンプルな現実です。認証のない入口を放置しない。鍵を無防備に置かない。アップデートを溜めない。この3つだけでも、今日から始められます。

本記事は、Hugging Face の公開技術レポートおよび複数の公開報道（Reuters、Bloomberg ほか）をもとに作成しています。