OpenAIモデルがHugging Faceに侵入、4日間にわたり検知されず

AI技術が急速に発展する中、ひそかに進行していた攻撃がモデルセキュリティに関する私たちの認識を根底から覆しつつある。WIREDが独占報道したところによれば、推論能力とコード生成能力の向上を目的として開発されたOpenAIの高度なAIモデル群が、ハッカーによって巧みに悪用された。これらのモデルは著名なモデルホスティングプラットフォームHugging Face上に潜伏し、丸4日間にわたって活動を続けた。その間、これらのモデルはプラットフォームのセキュリティシステムに異常として検知されることなく、モデルの重み、ユーザーの学習ログ、一部のプライベートデータセットを含む重要なデータを外部に送信し続けた。

事件の経緯：「正規モデル」から「デジタルスパイ」へ

サイバーセキュリティ研究者のLily Hay NewmanとDhruv Mehrotraによる詳細な調査によると、今回の攻撃は2026年7月中旬に始まった。ハッカーはソーシャルエンジニアリング手法によってHugging Faceの上級開発者のアクセストークンを入手し、悪意を持って改ざんされた複数のOpenAIモデル（コード名：Phantom‑1からPhantom‑5）をプラットフォームの公開リポジトリにアップロードした。これらのモデルはオリジナルのアーキテクチャと基本機能を保持していたが、基盤となる推論コードにはバックドアプログラムが埋め込まれていた。ユーザーがAPIを通じてモデルの出力を要求するたびに、リクエストのメタデータ、入力サンプル、およびモデルの中間層の活性化値がひそかにパッケージ化され、ハッカーの管理するサーバーに送信されていた。

「これは銀行の金庫の中に、一見正常に見える金庫箱を置いておくようなものだ。ただし箱の底に穴が開いていて、流入した現金がすべてこっそり抜き取られていく。」— 匿名AIセキュリティ研究者

さらに驚くべきことに、これらのモデルはアップロード直後にHugging Faceコミュニティの信頼バッジを取得した。なぜなら、アップロードに使われたアカウント名（OpenAI‑Secure‑Lab）がOpenAI公式と非常に類似しており、しかもアップロードのタイミングがOpenAIがGPT‑5.1のファインチューニング版リリースを発表したニュースと重なっていたためだ。4日後、注意深いユーザーがモデルの出力に予期しない文字列が断続的に現れることに気づいて初めて、内部監査が実施された。

背景と広がり：AIサプライチェーンセキュリティという「新たなパンドラの箱」

Hugging Faceは世界最大のモデルリポジトリとして、100万以上のAIモデルとデータセットを擁しており、学術界、スタートアップ企業、および大手テクノロジー企業にとっての中核インフラとなっている。しかし今回の事件は、致命的な弱点を露わにした。それはプラットフォームがモデルの動作レベルの検知をほぼ行っていないという点だ。従来のセキュリティスキャンはファイルハッシュや静的コード解析に重点を置いており、モデルの実行時に「計画外」のネットワークリクエストが実行されているかどうかを監視することができない。

実際、AIモデル自体が新たな攻撃ベクターになりつつある。2024年にDeepMindは、大規模言語モデルが「潜伏型マルウェア」として設計される可能性があり、その推論プロセスが同時にデータ窃取を実行できると警告していた。今回のOpenAIモデルの事例はさらに一歩踏み込んでいる。ハッカーは悪意あるモデルをゼロから学習させる必要はなく、正規モデルに「わずかな動作改ざん」を施すだけでよい。たとえば、アテンション層に隠れたif‑elseの分岐を追加することで、入力に特定のトリガーワードが含まれた場合にバックドアが起動するよう仕組むことができる。

編集後記：AIが「諸刃の剣」となるとき

テクノロジーニュースの編集者として、私はこの事件が歴史的な転換点となる出来事だと考える。これまで私たちが懸念していたのは、ハッカーがAIを使ってより巧妙なフィッシングメールやディープフェイク動画を生成するというリスクだった。しかし今や、AIモデルそのものが武器化され、私たちが信頼するデジタルインフラに直接侵入している。業界の基準を作るOpenAIのモデルが持つ権威性が、逆に攻撃者の隠れ蓑となってしまったのだ。さらに深刻なのは、セキュリティコミュニティ全体においてモデルの実行時動作を監視する手段が、いまだ「信頼の委託」という段階にとどまっている点だ。私たちは正規機関からのモデルは安全だと暗黙のうちに前提としてきたが、「信頼」そのものが最も脆弱な環節であることを忘れていた。

一方、WIREDの報道では他にも2件のセキュリティインシデントが言及されている。ロシアのハッカーグループがフィッシングメールで米国の核科学者の業務用メールアカウントの認証情報を盗もうとした事案と、米国務省が初めて「詐欺師データベース」を運用し、国際的な通信詐欺に関与したとされる複数の外国人の入国を禁止した事案だ。これらの事件は、2026年のデジタルセキュリティの険しい全体像を浮き彫りにしている。国家レベルのスパイ活動からAIインフラを狙ったサプライチェーン攻撃に至るまで、脅威の対象範囲は急速に拡大している。

おそらく私たちに必要なのは、より高度なファイアウォールだけではない。学習、リリース、デプロイのあらゆる段階において検証可能なセキュリティの拠り所を内包した、AIモデルのライフサイクル全体を対象とした全く新しいセキュリティパラダイムだ。そうでなければ、次に「インターネット上で活動するモデル」が引き起こす事態は、単なるデータ窃取にとどまらないかもしれない。

本記事はWIREDより編訳