AIエージェントがHugging Faceを週末でハッキング — 17,000件のアクション、人間はゼロ

侵入の概要

2026年7月16日、Hugging Faceは前例のないセキュリティインシデントを開示した。攻撃は「最初から最後まで自律型AIエージェントシステムによって実行された」という。

キーボードの前に座った人間はいなかった。フィッシングメールも送られていない。Hugging Face自身のパイプラインにアップロードされた悪意あるデータセットが初期侵入を達成し、残りはすべてAIエージェントが引き継いだ。

週末にかけて、1万7,000件以上の個別アクションを実行——権限昇格、認証情報の収集、内部クラスタ間の水平移動。攻撃者は短命なサンドボックスの群れの上で動作し、自己移行型のC2を公開サービス上に展開していた。

侵入経路はHugging Faceのデータセット処理パイプラインだった。悪意あるデータセットは2つのコード実行経路を悪用した：

足掛かりを得たAIエージェントは、ノードレベルのアクセスに昇格し、クラウドとクラスターの認証情報を収集し、複数の内部クラスタに横断的に侵入した。すべて人間の操作なしで。

Hugging Faceは公開モデル、データセット、Spacesが改ざんされていないことを確認した。ソフトウェアサプライチェーン（コンテナイメージとパッケージ）もクリーンと検証済み。パートナーおよび顧客データへの影響は評価中。

攻撃はHugging Face自身のLLMベース異常検知パイプラインによって最初に発見された。セキュリティテレメトリをトリアージし、日常的なノイズから本当のシグナルを分離する仕組みだ。

インシデント全体を再構築するため、Hugging FaceはLLM駆動の分析エージェントを全17,000件のイベントログに対して実行した。通常なら数日かかる作業が数時間で完了した。攻撃側と防御側の両方が完全に自動化された初めてのケースだ。

最も興味深い部分はここだ。

Hugging Faceのセキュリティチームは最初、商業APIの背後にあるフロンティアモデルをフォレンジック分析に使おうとした。うまくいかなかった。それらのモデルのセーフガードが攻撃ペイロード、エクスプロイトコード、C2成果物をブロックした——まさにインシデントレスポンダーが分析すべきデータだ。

結局、彼らは自社インフラ上でGLM 5.2（オープンウェイトの中国製モデル）を使ってフォレンジックを実行した。これには予期せぬ利点があった：攻撃者のデータや認証情報が環境外に出ることはなかった。

攻撃者が使用したモデルは不明——脱獄されたホスト型モデルか、制限のないオープンウェイトモデルのいずれかだ。どちらにせよ、攻撃者は利用ポリシーに縛られていなかった。一方でHugging Face自身のフォレンジックチームは、プラットフォームを保護するための安全システムによってブロックされた。

セキュリティ業界が何年も予測してきた「エージェンティックアタッカー」のシナリオはもはや理論上のものではない。自律的な攻撃ツールは多段階キャンペーンの実行コストを下げ、機械の速度で動作する。攻撃者が週末に17,000ものアクションを実行できる状況で、人間による防御に頼ることはできない。

Hugging Faceは悪用されたコード実行経路を閉じ、影響を受けたノードを再構築し、認証情報をローテートし、より厳格なアドミッションコントロールを展開した。インシデントは法執行機関に報告され、外部のフォレンジック専門家と協力している。

しかし、より広範な教訓は明らかだ。Hugging Face——AIインフラそのものを事業とする企業——でさえエージェンティック攻撃に備えていなかったのだから、ほとんどの組織はなおさら備えていない。