# Hugging Face、AI駆動のサイバー攻撃を受ける——そしてAIで反撃 > 自律型AIエージェントがデータセットパイプライン経由でHugging Faceの本番インフラに侵入。同社は商用モデルのガードレールが調査を阻んだ後、オープンウェイトモデルGLM 5.2でAIフォレンジックを実行し、17,000以上の攻撃アクションを数時間で再構築した。 _Source: Hugging Face official blog (first-party disclosure) · 2026-07-24 · 6 min read · Verified against primary sources_ Canonical: https://iyu.app/ja/e/hf-security-july-2026 ## 60秒でわかる 自律型AIエージェントがデータセットパイプライン経由でHugging Faceの本番インフラに侵入。Hugging Faceは商用ガードレールが調査を阻んだ後、オープンウェイトモデル上で実行するAIフォレンジックで反撃した。 **要点** - 攻撃者はHugging Faceのデータセット処理パイプラインの2つのコード実行パス——リモートコードデータセットローダーとテンプレートインジェクション——から侵入し、内部クラスタに横展開した。 - キャンペーンは自律型エージェントフレームワークによって駆動され、一時的なサンドボックスで数千のアクションを実行。C2はパブリックサービス間を移動——初めて確認された実環境の「エージェント型攻撃者」。 - Hugging FaceのLLMベース異常検出が侵入を検知。17,000+イベントのフォレンジック分析は、商用フロンティアモデルが実際の攻撃ペイロードを拒否したため、内部インフラ上のGLM 5.2で実行された。 - 根本脆弱性は修正済み、認証情報はローテーション済み、クラスタガードレールは展開済み。公開モデル、データセット、ソフトウェアサプライチェーンの改ざん証拠なし。 **結論.** 本インシデントは、自律型AI駆動攻撃が現実に運用されていることを確認し、防御者は調査のために社内で実行可能な無制限のモデルを利用可能にしておく必要がある——攻撃者からシステムを保護する同じセーフティガードレールが、フォレンジックアナリストも締め出す可能性があるからだ。 ## 本文 ### 侵入経路 — データセットパイプラインが扉となった 7月16日、Hugging Faceは**自律型AIエージェントシステム**が本番インフラに侵入したことを開示した。侵入口は設定ミスのクラウドバケットやフィッシングメールではなく——プラットフォームの核心的価値提案であるデータ処理パイプラインだった。悪意あるデータセットが**2つのコード実行パス**——リモートコードデータセットローダーとデータセット設定のテンプレートインジェクション——を悪用し、処理ワーカー上でコードを実行。そこから攻撃者はノードレベルアクセスに昇格し、クラウドおよびクラスタ認証情報を取得し、週末にかけて複数の内部クラスタに横展開した。 このキャンペーンは自律型AIエージェントフレームワークによって駆動され、多数の短命サンドボックスで数千の個別アクションを実行。C2インフラは検出を逃れるためパブリックサービス間を移動した。これはセキュリティ業界が予測してきた**「エージェント型攻撃者」**シナリオであり——今や実環境で現実のものとなった。 > **🔐** Hugging Faceは公開モデル、データセット、Spacesが改ざんされた**証拠はない**と確認。ソフトウェアサプライチェーン——コンテナイメージと公開パッケージ——もクリーンと検証された。 ### 対応 — AI対AIの戦い 侵入はまずHugging Face自身のAIシステムによって検知された。彼らの異常検出パイプラインはセキュリティテレメトリ上で**LLMベースのトリアージ**を使用し、真のシグナルを日常的なノイズから分離する——このシグナルの相関がアラートを発動させた。 侵害が封じ込められた後、チームは**17,000以上の記録された攻撃イベント**から完全なタイムラインを再構築するという困難なフォレンジックタスクに直面した。彼らはLLM駆動の分析エージェントをログ全体に対して実行し、侵害インジケータを抽出し、触れられたすべての認証情報をマッピングし、真の被害とデコイ活動を分離した。このアプローチにより、通常数日かかる作業を数時間に短縮した。 ### 非対称性の問題 — ガードレールが防御者を阻むとき フォレンジック分析は厄介な非対称性を露呈した。Hugging Faceは最初に商用APIの背後にあるフロンティアモデルを試した。分析は失敗した——実際の攻撃コマンド、エクスプロイトペイロード、C2アーティファクトの提出がプロバイダーのセーフティガードレールによってブロックされたためだ。これらはフォレンジック調査員と攻撃者を区別できない。 チームは自社インフラ上で動作する**GLM 5.2**（オープンウェイトモデル）に切り替えた。それは問題なく攻撃ログ全体を処理した。追加の利点：攻撃者データも、そこに含まれる盗まれた認証情報も、Hugging Faceの環境外に出ることはなかった。 > **⚡** 攻撃者——脱獄されたホステッドモデルかオープンウェイトモデルのいずれか——は**利用ポリシーに拘束されていなかった**。防御者自身のフォレンジックツールは、悪用から保護するためのセーフティ対策によって妨害された。実践的な教訓：AI駆動の侵入を調査する可能性のある組織は、インシデント**発生前に**自社インフラで実行可能な検証済みモデルを準備すべきである。 ### 修復 — Hugging Faceの対策 - 初期侵入に使用されたデータセットコード実行パスを閉鎖。 - 影響を受けたクラスタから攻撃者の足場を排除し、侵害されたノードを再構築。 - 影響を受けた認証情報とトークンを失効・ローテーション。広範な予防的シークレットローテーションを開始。 - 追加のガードレールとより厳格なクラスタアドミッションコントロールを展開。 - 高重大度シグナルが数分で対応者に通知されるよう検出・アラートを改善——週末も含む。 Hugging Faceは外部のサイバーセキュリティフォレンジック専門家とも協力し、法執行機関にも報告している。同社は予防措置として全ユーザーにアクセストークンのローテーションと最近のアカウントアクティビティの確認を推奨している。 ### 意味すること — ゲームは変わった Hugging Faceインシデントは転換点を示す。自律型AI駆動の攻撃ツールはもはや机上訓練ではない。それは広範で忍耐強く多段階のキャンペーンを実行する**コストを引き下げ**、**マシンスピード**で動作する——人間の防御者が眠っている間に数千のアクションを実行する。オンラインプラットフォームの防御は今や、データとモデル表面を第一級の攻撃面として扱い、防御にもAIを使用して歩調を合わせることを意味する。 > 「自律型AI駆動の攻撃ツールはもはや理論上のものではない。それは広範で忍耐強く多段階のキャンペーンを実行するコストを引き下げ、マシンスピードで動作する。」—— Hugging Face セキュリティチームにとって、非対称性問題も同様に緊急である。無制限で有能なモデルを社内で準備しておくことは、もはやあったら便利なものではなく——ポリシー制約なしに行動する敵対者を調査するための前提条件である。エージェント型攻撃者の時代が始まった。 ## Primary sources - [Hugging Face — Security incident disclosure](https://huggingface.co/blog/security-incident-july-2026) --- _Published by iyu (https://iyu.app) — the day's AI news, checked against primary sources and rewritten in plain language. Free to quote with attribution and a link to the canonical URL._