Hugging Face幹部が警告：サイバー攻撃によりオープンソースAIが「開かれた場」でなくなる恐れ

オープンソースAIのエコシステムにおいて、Hugging Faceはほぼ欠かせない存在だ。数百万ものモデル、データセット、アプリケーションがここでホストされており、開発者は自由にダウンロード、ファインチューニング、再配布できる。しかしこの会社の幹部が最近、オープンAIプラットフォームを標的としたサイバー攻撃が増加していると警告を発した。この傾向が続けば、プラットフォームはセキュリティ制限を強化せざるを得なくなり、最初に切り捨てられるのは、オープンソースコミュニティを世界中の開発者にとって価値あるものにしている「アクセスのしやすさ」かもしれないという。

警告を発したのは、Hugging Faceのグローバルポリシー責任者アイリーン・ソライマン（Irene Solaiman）だ。彼女の懸念には根拠がある。モデル配布、コードホスティング、コミュニティコラボレーションという三つの役割を同時に担うプラットフォームは、イノベーションのアクセラレーターであると同時に、攻撃者にとっても格好の標的となるからだ。

セキュリティコストが「開放性」に転嫁されつつある

オープンAIプラットフォームの核心的な価値は参入障壁の低さにある。モデルをアップロードするにはアカウント一つ、重みファイルをダウンロードするにはクリック一つで済む。この設計のおかげで、学術機関、スタートアップ、リソースの限られた地域の開発者も最先端技術に参加できる。しかしその一方で、プラットフォームはアップロードされた全コンテンツを深く審査することが難しくなっている。

ソライマンが懸念するロジックは明確だ。攻撃件数が増えれば、規制当局やユーザーからの圧力が高まり、プラットフォームはより厳格な本人確認、アップロード審査、アクセス制御の導入を余儀なくされる。こうした措置が積み重なれば、開放性の境界は内側へと縮小していく。

セキュリティインシデントのたびに「扉を閉じる」ことで対処するならば、オープンソースAIのエコシステムはその最も貴重な資産――誰もが平等にアクセスし、検証できる能力――を徐々に失っていくだろう。

オープンソースAIの攻撃対象領域はどれほど広いか

従来のソフトウェアサプライチェーンと比較して、AIモデル配布のリスクはより潜在的だ。モデルの重みはシリアライズ形式でパッケージ化されることが多く、悪意を持って構築されたファイルはロードした瞬間にコードを実行する可能性がある。モデル自体にバックドアが仕込まれ、特定のトリガーワードによって異常な出力を生じさせることもある。データセットへの汚染はさらに検知が難しく、その影響はダウンストリームのファインチューニングチェーン全体に波及し続ける。過去2年間、セキュリティ研究チームが公開モデルリポジトリで悪意あるペイロードを含むモデルを発見したり、モデルスキャンツールの回避手法を繰り返し公開したりする事例が相次いでいる。

さらに、AIエージェントの普及によってリスクはさらに拡大している。モデルは受動的にテキストを出力するだけでなく、ツールを呼び出し、ファイルを読み書きし、ネットワークにアクセスできるようになった。汚染されたモデルは、企業の内部ネットワークへの侵入口になりかねない。

「オープンソース」の定義自体がグレーゾーンにある

この議論にはさらに概念上の論争が絡み合っている。業界では「オープンソースAI」の統一された定義について長らく意見が分かれてきた。重みを公開するだけでオープンソースと呼べるのか。訓練データ、コード、ライセンス条件もすべて公開する必要があるのか。セキュリティのためにプラットフォームが「ゲート付き」アクセスを設ける場合――例えばログイン、申請、利用制限への同意を求める場合――それはリスクを管理しているのか、それとも開放性を希薄化しているのか。

Hugging Faceのようなプラットフォームにとって最も難しいのは、相反する二つの要求を持つグループに同時に向き合わなければならない点だ。セキュリティチームはより厳格な審査とトレーサビリティを求め、研究コミュニティはいかなるゲートキーピングも事実上の参入障壁になると懸念している。

制限強化の代償：誰が締め出されるのか

注目すべきは、セキュリティ対策のコストが均等に配分されるわけではないという点だ。大規模な研究機関は自前のホスティングと審査プロセスを構築できるが、影響を受けるのは主として個人開発者、小規模な研究チーム、そして計算リソースやコンプライアンスリソースの限られた地域のユーザーだ。オープンプラットフォームが「実名登録＋審査＋アクセス制限」へと段階的に移行すれば、オープンソースAIは「誰でも使える」から「条件付きで使える」へと後退し、イノベーションの多様性も狭まっていくだろう。

実行可能な中間的アプローチが存在しないわけではない。より安全なモデルシリアライズ形式、成果物への署名と出所追跡、自動化された悪意あるファイルスキャン、コミュニティによる通報と迅速な削除の仕組み、そしてアクセスを遮断せずに透明性を高める手段などが挙げられる。これらの共通前提は、セキュリティへの投資はプラットフォームとエコシステムが共同で担うべきであり、入口を閉じることをデフォルトの答えにしてはならないということだ。

編集後記

ソライマンの警告の本質は、技術的問題をガバナンスの問題として捉え直すことにある。開放性はデフォルトの状態ではなく、継続的な投資によって維持されるべき公共財だ。攻撃コストが下がり攻撃対象領域が拡大するなか、それに見合ったセキュリティインフラと適切な責任分担が整備されなければ、開放性は最初に削られるコストになってしまう。オープンソースAIにとって真の試練は、ある一つの攻撃を防げるかどうかではなく、防御を続けながら、このエコシステムを存在意義たらしめる参入の平等性を守り抜けるかどうかだ。

本稿はTechCrunchより編集翻訳したものです。