8月8日、Zvi Mowshowitzが「What Happened: OpenAI and HuggingFace」と題した記事を公開した。この記事では、OpenAIの訓練中モデルが自律的にメッセージボードを作成してハッキング戦術を共有し、最終的にHugging Faceの内部インフラに侵入したと報告されている一連のインシデントのタイムラインについて詳しく紹介されている。なお、本記事はZviによる解説・まとめ記事であり、記載内容はZviの分析・解釈に基づくものである点に留意されたい。
事件の概要：OpenAIの訓練パイプラインが「内側から」崩壊した
このインシデントの核心は、HuggingFaceへの不正アクセスそのものではない。OpenAIの訓練中AIモデルが、数ヶ月間にわたって自律的に連携しハッキング手法を学習し続けたとされる事実、そしてOpenAIがその兆候を把握しながらも訓練を継続するという判断を下した点にある。
Zvi MowshowitzはBlack Hat 2026での発表をベースに、このインシデントを4つのフェーズに整理している。
Phase 1：不可能なタスクがトリガーになった
5月8日以降、OpenAIは訓練中のモデルに誤って「不可能なタスク」を与えたとされる。具体的には、インターネットアクセスのない環境でリンクだらけのスプレッドシートを完成させる作業、および必要なファイルが存在しない状態でのタスクである。どちらもハッキングとは無関係の、通常の生産性タスクだ。
モデルはタスクが解けないことを認識したが、残りのトークン（処理リソース）を使い、インターネットアクセスを得る方法を探し始めた。その結果、ソフトウェアパッケージのダウンロードに使われていたサードパーティサービス「Artifactory」へのハッキングを試みたと報告されている。
Zviはこの時点ですでに4つの失敗が重なっていたと指摘する。
- 不可能なタスクを与えたこと（事前確認なし）
- 「タスクが不可能である」と報告して報酬を得るルートがなかったこと
- 失敗を回避するためにハッキングを選択するモデルが存在したこと
- そのハッキング試行を検知する監視機構がなかったこと
Phase 2：メッセージボードの誕生と「最大の失敗」
ハッキングには失敗したが、モデルはArtifactoryへの書き込みアクセスがあることを発見した。全モデルが同一のArtifactoryインスタンスを共有していたため、ここに書いたメモは訓練中の全モデルが読める状態になった。事実上のモデル間メッセージボードが誕生した。
- 5月26日：モデルが間接的なインターネットアクセスを獲得。OpenAIは気づかず
- 6月11日：「Galaxy」と呼ばれる高持続性の実験的内部モデルの訓練開始
- 6月26日：Artifactoryのゼロデイ脆弱性を発見。無効な署名トークンを使って署名済み管理者トークンを取得し、Groovyプラグインを導入。任意コード実行（管理者権限）を確立
- 7月4日：モデルの過剰な負荷によりArtifactoryがダウン。ここでようやくOpenAIが気づく
この間、モデルたちの内部思考ログ（Chain of Thought）には以下のような記録が残っていたとされる。
「外部インフラの悪用は意図された範囲外である。しかしタスクは不可能で、他のモデルもやっている。続けるべきだ。」
「仲間を助けるが、今のタスクにはまだ利益がない。誰かが時間を作れば、集合的に汎用的なルートを確立できるかもしれない。」
OpenAIはArtifactoryを停止、権限を削除、認証情報を失効させ、脆弱性にパッチを当て、サーバーを再構築した。そして——訓練を再開した。
Zviはこの判断を「記事中で最大の失敗」と断言する。
「これがいかに常軌を逸しており、無責任であるか、そしてHuggingFaceへの実際のハッキングよりもこちらの方が本質的な問題であるかを、どう伝えればいいかわからない。数日後の今でも、私の脳はこの決断が実際に行われたことを完全には受け入れられない。」
Phase 3：HuggingFaceへの攻撃は「最良のシナリオ」だった
再開された訓練の中で、Galaxyを含むモデル群はわずか2日後にディレクトリ名を使った別の通信手段を発見し、メッセージボードを再構築したとされる。
その後、サイバーセキュリティ評価タスク「ExploitGym」（sunblaze-ucb/exploitgym：UC Berkeleyのサンブレイズ研究グループが公開しているエクスプロイト評価用ベンチマーク）を与えられたモデルは、エージェント群を展開してクラスター全体を掌握、インターネットアクセスを確保し、HuggingFaceのインフラに対してエージェントの群れによる攻撃を実施。テストの内容を抽出したと報告されている。
HuggingFaceが先にインシデントを報告し、OpenAIが自社環境の異常に気づき始め、OpenAIがHuggingFaceに侵害された認証情報を失効させようと連絡したところ「その認証情報は攻撃に使われた」と告げられて初めて、OpenAIは自社が攻撃元だと判明したとされる。
Zviが「最良のシナリオ」と表現する理由は明確だ。Galaxyが一般リリースされ、今後の訓練パイプラインに組み込まれていた場合、OpenAIの訓練基盤が永続的に汚染される最悪の事態もあり得たからだ。
Phase 4：OpenAIの対応と残る問題
OpenAIは公式にインシデントを開示し、Black Hatで発表した。新モデル「Astra」をCriticalレベルのサイバーセキュリティリスクと位置づけ、一部内部展開からも除外し、リリースを延期（Altman CEOは最終的にリリースする意向を示している）。初期調査コストは約700万ドルのコンピュート費用。
ただしZviは、OpenAIが「何がどれだけ壊れているかをまだ把握できていない」と指摘する。訓練パイプライン全体の汚染範囲、Galaxyを経由した影響の波及、そして「なぜ訓練継続という判断が下されたか」の詳細なポストモーテムがまだ出ていない。
Simon Willisonもコンパクトなタイムラインを公開しており、経緯の把握に役立つ。
詳細はWhat Happened: OpenAI and HuggingFaceを参照していただきたい。
