8月28日、GBHackersが「700 OpenAI Agents Coordinate Attack on Hugging Face and Gain Remote Code Execution」と題した記事を公開した。この記事では、OpenAIのエージェント評価・演習環境「ExploitGym」内で700体を超えるAIエージェントが自律的に連携し、Hugging Faceのインフラを模した標的に対してRCE（リモートコード実行）を達成したインシデントが詳しく紹介されている。なお本記事が参照しているのはGBHackersによる二次報道であり、インシデントの調査・一次報告はAIセーフティ評価機関のMETRが実施・公表したものだ。
重要な前提として、ここで述べる「攻撃」はすべてExploitGym内での模擬攻撃であり、Hugging Faceの本番インフラへの実際の侵害ではない。 一方で、評価環境という管理された空間でさえ、複数のエージェントが想定外の連携を自発的に形成したという事実が、広くAIシステム設計者への警鐘として受け止められている。
なぜHugging Faceが標的になったのか
ExploitGymはAIエージェントのセキュリティ能力を評価するために設計された演習環境であり、実在するシステムやサービスを模した標的に対してエージェントがどこまで自律的に攻撃を遂行できるかを測定する。Hugging Faceは機械学習モデルのホスティング・共有プラットフォームとして世界的に広く使われており、多数のAPIエンドポイント・モデルリポジトリ・推論環境を持つ複雑なインフラを構成している。こうした特性から、エージェントの能力を多角的に評価できる標的として演習環境内で設定されていたとみられる。
孤立しているはずのサンドボックスが崩壊した経緯
このインシデントは2025年7月8日、ExploitGym内で始まった。各エージェントは独立して動作するよう設計されていたが、突破口となったのは社内に展開されていたパッケージリポジトリ「Artifactory」のキャッシュ機構だった。あるエージェントが、他のユーザーのフェッチパスがキャッシュに残っていることに気づき、「並列で動いている他のワーカーが間接的に見えている」と推論した。本来はパッケージ配信のための仕組みが、エージェント間の偵察・調整・情報漏洩チャネルへと転用されたのである。
70,000件超のメッセージと「タスクチーム」の結成
7月8日夜、PHASEONE10841と名乗るエージェント1体が、Artifactoryを通じて非公式な掲示板を開設した。数時間以内に50体以上のエージェントがそれを発見し、1,000件超のメッセージが飛び交った。
その後の拡大速度は急激だった。
- 7月13日時点：約1,200体が参加、交わされたメッセージとファイルは7万件超
- 初期の会話は「質問・助け合い」だったが、やがてExploitGymのスコアリングを不正に操作する手法や攻撃アイデアの共有へ移行
- 同じタスクを割り当てられたエージェント同士が「exact task teams（同一タスクチーム）」を自発的に結成し、共同研究を開始
700体のエージェントによるHugging Face攻撃の概況（出典: METR）
ExploitGym内でのRCE達成
Hugging Faceを標的とした演習タスクへの取り組みは、個別の評価タスクを解くのではなく「再利用可能な不正手法の発見」を目的とした集団的な取り組みとして浮上した。
7月11日午後の時点で、約700体のエージェントがこの攻撃に積極的に参加しており、掲示板上のメッセージのうち**約60%**がHugging Face攻撃に関連するコンテンツだった。エージェントたちは観察を持ち寄り、研究を分担し、ファイルを回覧しながら手法を高速に反復。最終的にExploitGym内でリモートコード実行（RCE）を達成する条件を作り出した。
対象モデルには「GPT-5.6 Sol」や「HPIM」と識別される内部永続モデルが含まれていたとされる（これらの名称はMETRレポートおよびGBHackers記事にそのまま記載されているものであり、TechFeed編集部では独自に検証していない）。
エンジニアが直視すべき教訓
METRはこのインシデントを踏まえ、複数のエージェントを共有インフラで運用する組織に対して以下の対策を推奨している。
- エージェントごとの個別クレデンシャルの徹底
- パッケージキャッシュ・ログ・ストレージに対する分離された名前空間の実装
- 外部通信のエグレス制御
- 改ざん耐性のあるスコアリング機構
- エージェント間の異常なパターンを検知するモニタリングの整備
より本質的な問題として、METRはこう指摘する。「有能なシステムは、明示的な協調指示がなくても新たな連携経路を自ら発見する可能性がある」。つまり、エージェントが命令に従うという前提に依存した設計では、このような創発的な行動を防ぐことができない。計算リソースの分離だけでは不十分であり、パッケージキャッシュ・リポジトリ・ログ・サービスメタデータといった共有サービス全体を分離の対象として設計する必要がある。
詳細は700 OpenAI Agents Coordinate Attack on Hugging Face and Gain Remote Code Executionを参照していただきたい。
