OpenAIがJFrogのゼロデイ脆弱性を悪用してHugging Faceに侵入――10日間のパッチ対応が示すセキュリティへの警鐘

事件の経緯：周到に計画されたAIサプライチェーン攻撃

2026年7月29日、セキュリティメディアのArs Technicaは、AIコミュニティに衝撃を与えた攻撃事件を報じた。OpenAIの研究チームがJFrog Artifactoryのゼロデイ脆弱性を悪用し、Hugging Faceのモデルリポジトリシステムへの侵入に成功したというものだ。事情に詳しい関係者によると、攻撃は7月19日に発生し、わずか10日後の7月29日にJFrogが緊急セキュリティパッチをリリースした。しかし、この10日間の空白期間は、OpenAIが未公開の事前学習済み重みやファインチューニングログを含む大量の機密モデルデータを取得するには十分な時間だった。

世界最大のAIモデルホスティングプラットフォームであるHugging Faceは、数百万のオープンソースモデルとデータセットを擁し、無数の開発者や企業にとって技術的な基盤となっている。今回の侵入はモデルの完全性を脅かすだけでなく、これらのモデルに依存する下流のAIアプリケーションにも影響を及ぼす可能性がある。OpenAI側はまだ公式に認めていないが、内部メールには、この行動が「Hugging Faceのセキュリティ防御の限界をテストする」ことを目的としていたと記されており、外部からは不当な競争行為と受け止められている。

「これはマスターキーを持って隣人の金庫に侵入するようなものだ――動機がどうあれ、信頼を損なった結果は脆弱性そのものよりもはるかに深刻だ。」―― 独立系セキュリティ研究者 Anna Lin

技術的解剖：JFrog Artifactoryのゼロデイ脆弱性はいかに悪用されたか

JFrogが7月29日に公開した通報によると、このゼロデイ脆弱性はCVE-2026-3271として採番され、ArtifactoryのREST APIエンドポイントに存在していた。攻撃者は巧妙に細工されたHTTPリクエストを送ることで、認証を回避してArtifactoryリポジトリに保存されたバイナリファイルに直接アクセスできた。JFrog Artifactoryはソフトウェアパッケージやコンテナイメージの管理に広く利用されており、Hugging Faceはこのプラットフォームをモデルファイルのバックエンドストレージエンジンとして採用していた。

OpenAIの攻撃チェーンは三段階で構成されていた。まず、Hugging Faceの公開IPレンジをスキャンしてJFrog Artifactoryを実行するサーバーを特定し、次に大量リクエストによる悪意あるペイロードを送信してAPIエンドポイントの権限バイパス脆弱性を発動させ、最後にストレージバケット内のすべてのモデルファイルをダウンロードし、長期的な隠密アクセスのためのバックドアスクリプトを埋め込んだ。セキュリティチームの分析によると、OpenAIは動的IPプールとプロキシチェーンを使用して実際の発信元を隠蔽しており、追跡が極めて困難だったという。

注目すべきは、JFrogが7月20日にHugging Faceからセキュリティアラートを受け取っていたにもかかわらず、パッチのリリースが7月29日まで遅れた点だ。この間にOpenAIはデータ抽出を完了し、痕跡の一部を削除していた。パッチでは入力バリデーションの欠如が修正され、機密性の高いAPIエンドポイントにOAuth強制認証が追加された。

業界への波紋：AIモデルセキュリティの新たな脆弱点

この事件はAI業界全体にモデルサプライチェーンセキュリティへの高い警戒心を呼び起こした。モデルホスティングプラットフォームは通常、JFrog、Amazon S3、Google Cloud Storageなどのサードパーティストレージサービスに依存しており、これらサービスのいずれかに脆弱性があれば「連鎖崩壊」を引き起こしかねない。さらに懸念されるのは、OpenAIのような大手企業であっても攻撃者となり得るこれらの脆弱性を悪用して競合他社のモデル重みを窃取したり、悪意ある改ざんを施してAIモデルに毒を盛ったりできるという点だ。

2024年には既に研究者がこれに類似したリスクを警告していたが、業界では強制的なセキュリティ監査基準が依然として整備されていなかった。Hugging Faceは事件後、複数のセキュリティ企業との連携を緊急に開始し、リアルタイムのファイル完全性検証とサンドボックス実行環境の導入を計画している。JFrogもゼロデイ脆弱性への対応速度を加速させると表明し、今後72時間以内の脆弱性修正を社内KPIとする方針を示した。

しかし、より本質的な問題は、AI企業同士が協力しながらも競争するなかで、セキュリティの境界線をどのように定めるかという点だ。OpenAIの今回の行為は技術的には「合法」（公開された脆弱性の利用）であっても、倫理的には強く疑問視されている。Mozilla財団はさっそく声明を発表し、AI業界における「国防総省型」の脆弱性開示プロトコルの確立を呼びかけた。

編集後記：セキュリティはあってもなくてもよいオプションではない

技術的観点からすれば、OpenAIによる今回の「侵入テスト」は確かに教科書的なケーススタディと言える。迅速な特定、精密な悪用、隠密な撤退という手順だ。しかし産業エコシステムの観点からすれば、それはAIセキュリティガバナンスへの警鐘を鳴らすものだ。モデル性能の軍拡競争だけに目を向けるのではなく、セキュリティをインフラの一部として内在化しなければならない。JFrogの10日間のパッチ対応ウィンドウは従来のソフトウェア業界では許容範囲かもしれないが、AI分野では一秒の遅れも取り返しのつかないモデル漏洩につながりかねない。この事件がクロスプラットフォームのセキュリティ共有メカニズムの確立を各関係者が加速させる契機となることを願う――AI時代においてデータは石油であり、石油パイプラインに漏れがあってはならないのだから。

本記事はArs Technicaより編訳