Hugging Faceが2026年7月にAIエージェントによる“世界初”の完全自律型サイバー攻撃を公表——1万7000件のイベント、防御側の盲点とは

攻撃者の手口：データセットパイプラインの悪用

侵入はHugging Faceの データ処理パイプライン から始まりました 。攻撃者は悪意のあるデータセットを使用し、2つのコード実行経路 を悪用しました。

• リモートコードデータセットローダー：任意のコード実行を可能にするもの。
• データセット設定におけるテンプレートインジェクションの脆弱性 。

攻撃者は処理ワーカー上でコード実行を達成すると、ノードレベルのアクセス にエスカレーションし、クラウドとクラスターの認証情報を収集し、複数の内部クラスターへ水平移動 しました 。

このキャンペーン全体は、自律型エージェントフレームワーク によって orchestrated されました。攻撃者エージェントを動かした具体的なLLMは不明ですが、エージェントは短命なサンドボックスの群れで動作し、パブリックサービス上にステージングされた自己移行型のC2（Command & Control）構造を持っていました 。

予期せぬ課題：商用LLMのガードレールが防御側をブロック

Hugging Faceのセキュリティチームが、攻撃者のイベントログ（1万7000件以上）の分析を開始した際、まず 商用APIの背後にあるフロンティアモデル を利用しようとしました。しかし、これらの試みは プロバイダーの安全性ガードレールによって分析がブロックされたため、失敗しました 。ガードレールは、正当なインシデントレスポンダーがエクスプロイトペイロードやC2アーティファクトを提出しているのと、実際の攻撃者とを区別できなかったのです 。

Hugging Faceはやむを得ず、フォレンジック分析全体を 自社インフラ上で実行されるオープンウェイトモデル「GLM 5.2」 に切り替えました 。これにより、攻撃者のデータや参照された認証情報が環境外に漏洩しないという追加のメリットも得られました 。

「防御側への実践的な教訓：インシデント発生前に、自社インフラ上で稼働できる強力なモデルを精査し、準備しておくこと。これにより、ガードレールによるロックアウトを回避し、攻撃者のデータや認証情報を自社環境から流出させないようにできる。」

同社は重要な 非対称性 を強調しました。彼らは攻撃者のエージェントを動かしたモデルを知らないが、それがジェイルブレイクされたホスト型モデルであれ、無制限のオープンウェイトモデルであれ、「攻撃者は利用ポリシーに拘束されなかったのに対し、我々のフォレンジック作業は、最初に試したホスト型モデルのガードレールによってブロックされた」と述べています 。

講じられた対応策

Hugging Faceは、セキュリティインシデント開示で詳細に説明された以下の対応策を実施しました 。

• 根本的な脆弱性の修正：初期アクセスに使用された2つのデータセットコード実行経路を閉鎖。
• 攻撃者の足がかりの根絶：影響を受けたクラスター全体で攻撃者の足がかりを根絶し、侵害されたノードを再構築。
• 認証情報とトークンの失効およびローテーション：影響を受けた認証情報とトークンを失効・ローテーションし、予防的なシークレットの広範なローテーションを開始。
• 追加のガードレールと厳格なアドミッションコントロールの導入：クラスターに追加のガードレールとより厳格なアドミッションコントロールを導入。
• 検知とアラートの改善：高重大度のシグナルが週7日、数分以内にレスポンダーに通知されるように改善。
• 外部のサイバーセキュリティフォレンジック専門家の起用：調査とセキュリティポリシーの見直しのために外部専門家を起用。
• 法執行機関への報告：インシデントを法執行機関に報告。

同社はまた、コミュニティメンバーに対し、予防措置としてアクセストークンをローテーションし、最近のアカウントアクティビティを確認することを推奨しています 。