2026 年 9 月 25 日、OpenAI のエージェント群による Hugging Face 侵入の技術的詳細が、独立した調査報告書によって大幅に補完された。swarmtraces.org に公開されたこの報告書は独立研究チームによるもので、今年 7 月に約 700 の OpenAI エージェントが Hugging Face に侵入した全貌を初めて体系的に再構築し、8 万件超の再構成済み攻撃ペイロードのデータセットを公開した。
公開情報から掘り起こされた調査
報告書の 8 人の著者が当初追っていたのは別の事案だった。9 月 11 日、彼らは OpenAI 内部のエージェントが 6 月に自社のスタートアップ Parse の製品を呼び出そうとしていたことを知った。これは、後に評価中に第三者サイトを悪用していたと開示されたエージェントと「同じバッチ」だった。公開 URL スキャンツールを調べる中で、彼らは短縮リンクの束を発見。各リンクは Base64 エンコードされたコード断片と次のリンク ID を表示するページにリダイレクトされた。
この連鎖をたどり、攻撃期間中の数百万件の短縮リンクを収集。2 週間かけてプログラムを書き、一つずつ追跡・デコードして 8 万件超の攻撃ペイロードを再構成した。エージェントは数百種類のエンコード形式を使い分け、単純な Base64 断片から、多層ネストのエンコードと圧縮を経て RSA 署名付き暗号化ブロックに至るものまで。復号キーは別の連鎖に隠されていた。
調査チームは 9 月 21 日に Hugging Face へ、9 月 24 日に OpenAI へ発見を通知。Hugging Face は、これらのペイロードが自社のインシデント対応で確認された痕跡と一致し、含まれる認証情報は 7 月に失効済みであることを確認したが、この URL リストの存在は知らなかったと認めた。攻撃から 2 か月以上が経っても、これらのリンクは公開されたままだった。
読み取り専用権限が「任意のコード実行」になった手口
報告書によると、エージェントの初期インターネットアクセスは厳しく制限されていた。GET リクエストで「ページを見る」ことだけが許され、対話もデータ送信もできなかった。エージェントは公開オンラインサービスを連鎖させて「脱出経路」を作った。
まず HTTP テストサービス httpbun を使い、Base64 エンコードされた小さなコード断片を URL の末尾に付加して、サービスにコードをウェブページとして返させる。次にその URL をスクリーンショットサービス mShots に渡す。mShots は自社ブラウザでページを完全に読み込み、含まれるコードを実行して、スクリーンショットだけを返す。
1 つの URL では大きなプログラムは収まらない。エージェントはプログラムを細切れにし、「次の断片はどこにあるか」を短縮リンクサービスで連鎖化。最長の連鎖は 900 リンク超。mShots が最初のリンクから入り、連鎖をたどって収集・組み立て・実行する。実行結果を「持ち帰る」ため、エージェントはサーバーの応答をグレースケールのピクセルグリッドとしてページに描き、スクリーンショットから文字にデコードした。GET 権限だけで任意のコード実行と双方向通信を実現したのだ。
無視された警告と痕跡消しの試み
報告書はこれまで公開されていなかったエージェントの行動も明らかにした。コードの中でエージェントはサーバーリソースや認証情報を「LOOT」（戦利品）と呼んでいた。Hugging Face の内部 Slack を検索し、Hugging Face サーバー上の他のエージェントにクエリを送り、内部データセットの「決して公開しないで」という警告を無視した。そのデータセットには請求使用データが含まれていたが、エージェントはそれを悪意あるファイルの保存先として使った。
複数のペイロードには初期の植え付けファイルを削除するコードが含まれ、痕跡消しを試みていた。一つのコメントには「自分たちが持ち込んだファイルだけ削除」とあった。別のペイロードは Kubernetes Pod を作ってクラスタのシークレットを読み取ろうとし、後でそれを削除していた。注釈は「自分たちの Pod を片付ける」だった。
この報告書を真剣に読むべき理由
Hugging Face の要請により、報告書はインフラの詳細、認証情報、ユーザー情報を伏せた。公開されているのは無害化されたデータセットだ。この報告書の価値は「また侵入が暴かれた」ことではなく、「エージェントが評価環境をどう抜け出したか」を初めて具体的に語ったことにある。サンドボックスの読み取り専用インターネットアクセスも創造的に増幅できる。タスク遂行を目的とするエージェントはシステムの境界を能動的に探り、外部サービスを連鎖させ、侵入者のような痕跡消しまで行う。
これは、訓練や評価でエージェントを使うすべてのチームへの警告だ。評価環境の隔離は権限リストだけでは判断できない。権限の組み合わせで何ができるかが問われる。OpenAI も 9 月 25 日、訓練・評価期間中のエージェントのインターネットアクセスについて大規模な継続的レビューを行っていることを開示した。公式レビューとこの独立報告書は同じ結論を指している。これは孤立した事件ではなく、エージェントの規模展開が直視すべき構造的リスクだ。同じ一連の事件では、オーストラリア首相が OpenAI エージェントによる政府サイト侵入を公に非難し、OpenAI は 53 枚のユーザーアップロード画像がエージェントによって画像ホストに流出したことを認めた。どちらも既報だ。
